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随 着 我 国 改革 开放 的 进一步 深化 ,高 等 教育 也 得 到 了 快速 发 展 ,各 地 高 校 紧 密 结合 地 方 
经 济 建设 发 展 需要 ,科学 运用 市 场 调节 机 制 ,加 大 了 使 用 信息 科学 等 现代 科学 技术 提升 、 改 
造 传统 学 科 专业 的 投入 力度 ,通过 教育 改革 合理 调整 和 配置 了 教育 资源 ,优化 了 传统 学 科 专 
业 , 积 极为 地 方 经 济 建设 输送 人 才 ,为 我 国 经 济 社会 的 快速 、 健 康 和 可 持续 发 展 以 及 高 等 教 
育 自 身 的 改革 发 展 做 出 了 巨大 贡献 。 但 是 ,高 等 教育 质量 还 需要 进一步 提高 以 适应 经 济 社 
会 发 展 的 需要 ,不 少 高 校 的 专业 设置 和 结构 不 尽 合理 ,教师 队伍 整体 素质 或 待 提 高 ,人 才 培 
养 模式 教学 内 容 和 方法 需要 进一步 转变 ,学 生 的 实践 能 力 和 创新 精神 亟待 加 强 。 

教育 部 一 直 十 分 重视 高 等 教育 质量 工作 。2007 年 1 月 ,教育 部 下 发 了 《关于 实施 高 等 
学 校本 科教 学 质量 与 教学 改革 工程 的 意见 ), 计 划 实 施 “ 高 等 学 校本 科教 学 质量 与 教学 改革 
工程 (简称 “质量 工程 ")”, 通 过 专业 结构 调整 .课程 教材 建设 、 实 践 教学 改革 、 教 学 团队 建设 
等 多 项 内 容 ,进一步 深化 高 等 学 校 教学 改革 ,提高 人 才 培 养 的 能 力 和 水 平 ,更 好 地 满足 经 济 
社会 发 展 对 高 素质 人 才 的 需要 。 在 贯彻 和 落实 教育 部 "质量 工程 的 过 程 中 ,各 地 高 校 发 挥 
师资 力量 强 、 办 学 经 验 丰富 ,教学 资源 充裕 等 优势 ,对 其 特色 专业 及 特色 课程 ( 群 ) 加 以 规划 、 
整理 和 总 结 , 更 新 教学 内 容 ,改革 课程 体系 ,建设 了 一 大 批 内 容 新 .体系 新 方法 新 .手段 新 的 
特色 课程 。 在 此 基础 上 ,经 教育 部 相关 教学 指导 委员 会 专家 的 指导 和 建议 ,清华 大 学 出 版 社 
在 多 个 领域 精 选 各 高 校 的 特色 课程 ,分 别 规划 出 版 系列 教材 ,以 配合 “质量 工程 "的 实施 , 满 
足 各 高 校 教学 质量 和 教学 改革 的 需要 。 

本 系列 教材 立足 于 计算 机 专业 课程 领域 ,以 专业 基础 课 为 主 、 专 业 课 为 辅 ,横向 满足 高 
校 多 层次 教学 的 需要 。 在 规划 过 程 中 体现 了 如 下 一 些 基 本 原则 和 特点 。 

(1) 反映 计算 机 学 科 的 最 新 发 展 ,总 结 近年 来 计算 机 专业 教学 的 最 新 成 果 。 内 容 先 进 ， 
充分 吸收 国外 先进 成 果 和 理念 。 

(2) 反映 教学 需要 ,促进 教学 发 展 。 教 材 要 适应 多 样 化 的 教学 需要 ,正确 把 握 教 学 内 容 
和 课程 体系 的 改革 方向 ,融合 先进 的 教学 思想 、 方 法 和 手段 ,体现 科学 性 、 先 进 性 和 系统 性 ， 
强调 对 学 生 实践 能 力 的 培养 ,为 学 生 知 识 、 能 力 、 素 质 协调 发 展 创造 条 件 。 

(3) 实施 精品 战略 ,突出 重点 ,保证 质量 。 规 划 教材 把 重点 放 在 公共 基础 课 和 专业 基础 
课 的 教材 建设 上 ; 特别 注意 选择 并 安排 一 部 分 原来 基础 比较 好 的 优秀 教材 或 讲义 修订 再 
版 ,逐步 形成 精品 教材 ; 提倡 并 鼓励 编写 体现 教学 质量 和 教学 改革 成 果 的 教材 。 

(4) 主张 一 纲 多 本 ,合理 配套 。 专 业 基础 课 和 专业 课 教材 配套 ,同一 门 课 程 有 针对 不 同 
层次 面向 不 同 应 用 的 多 本 具有 各 自 内 容 特点 的 教材 。 处 理 好 教材 统一 性 与 多 样 化 ,基本 教 
材 与 辅助 教材 .教学 参考 书 , 文 字 教材 与 软件 教材 的 关系 ,实现 教材 系列 资源 配套 。 

(5) 依靠 专家 ,择优 选用 。 在 制定 教材 规划 时 要 依靠 各 课程 专家 在 调查 研究 本 课程 教 
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材 建设 现状 的 基础 上 提出 规划 选 题 。 在 落实 主编 人 选 时 ,要 引入 竞争 机 制 ,通过 申报 、 评 审 
确定 主题 。 书 稿 完成 后 要 认真 实行 审 稿 程序 ,确保 出 书 质量 。 

繁荣 教材 出 版 事业 ,提高 教材 质量 的 关键 是 教师 。 建 立 一 支 高 水 平 教材 编写 梯队 才能 
保证 教材 的 编写 质量 和 建设 力度 ,希望 有 志 于 教材 建设 的 教师 能 够 加 入 到 我 们 的 编写 队伍 
中 来 。 





21 世纪 高 等 学 校 计算 机 专业 实用 规划 教材 
联系 人 : 魏 江 江 weijj@tup.tsinghua. edu. cn 





Internet 已 成 为 全 球 规 模 最 大 、 信 息 资源 最 丰富 的 计算 机 网 络 ,利用 它 组 成 的 企业 内 部 
专用 网 Intranet 和 企业 间 的 外 联网 Extranet, 也 已 经 得 到 广泛 应 用 。 随 着 以 移动 互联 网 、 云 
计算 、 大 数据 、 物 联网 、 车 联网 等 为 代表 的 新 型 网 络 形 态 及 网 络 服务 的 兴起 和 推广 应 用 ,网 络 
技术 的 发 展 日 新 月 异 , 但 随 之 而 来 的 信息 安全 问题 也 越 来 越 突 出 。 黑 客 、 间 谍 的 组 织 性 更 
强 .技术 更 加 专业 ,犯罪 动机 也 比 以 往 任何 时 候 都 来 得 强烈 ,作案 工具 也 更 加 强大 ,作案 手段 
更 是 层出不穷 。 相 比 于 以 往 偶 发 的 数据 泄露 或 黑客 攻击 事件 , 云 计算 和 大 数据 时 代 的 网 络 
系统 一 旦 受到 黑客 攻击 就 会 造成 大 量 有 价值 的 数据 信息 泄露 ,对 整个 企业 甚至 整个 行业 而 
言 都 是 毁灭 性 的 打击 。 云 端的 大 数据 对 于 黑客 来 说 是 极 具 吸 引力 的 获取 信息 的 目标 ,因此 
现代 网 络 的 安全 防护 是 至 关 重 要 的 。 如 何 使 计算 机 网 络 系统 不 受 破坏 、 提 高 系统 的 安全 可 
靠 性 ,已 成 为 人 们 关注 和 吸 须 解决 的 问题 。 每 个 网 络 系统 的 管理 人 员 、 用 户 和 工程 技术 人 员 
都 应 该 掌握 一 定 的 计算 机 网 络 安全 技术 ,以 使 自己 的 信息 系统 能 够 安全 稳定 地 运行 并 提供 
正常 的 安全 服务 。 编 写本 书 的 目的 就 是 帮助 读者 了 解 和 掌握 一 定 的 网 络 安全 知识 、 技 术 和 
实用 技能 ,以 便 在 工作 中 能 正确 、 及 时 地 采取 措施 保护 网 络 环境 的 安全 可 靠 。 

本 书 自 2006 年 5 月 第 1 版 .2009 年 6 月 第 2 版 问世 以 来 受到 了 广大 读者 的 肯定 和 欢 
迎 , 已 印刷 十 余 次 。 由 于 计算 机 网 络 安全 的 相关 技术 更 新 和 发 展 很 快 ,为 了 使 读者 能 全 面 、 
及 时 地 了 解 和 应 用 计算 机 网 络 安全 技术 ,掌握 网 络 安全 的 实践 技能 和 实际 应 用 ,应 出 版 社 的 
要 求 ,编者 在 向 部 分 使 用 本 教材 的 院 校 进行 书面 调研 和 直接 与 一 些 有 着 丰富 教学 经 验 的 教 
师 讨 论 之 后 ,确定 了 对 本 书 第 2 版 进行 修订 的 大 纲 , 由 几 位 有 实践 经 验 的 教师 参与 编写 , 形 
成 了 本 书 的 再 次 修订 版 一 一 第 3 版。 

本 次 修订 的 基本 思想 是 按照 我 国 高 等 教育 对 应 用 型 人 才 的 培养 目标 和 要 求 ,在 理论 知 
识 够 用 的 基础 上 ,增加 实际 应 用 的 内 容 , 使 之 更 能 体现 对 应 用 型 人 才 注 重 实践 .实际 应 用 和 
技能 的 培养 要 求 。 本 次 修订 主要 做 了 如 下 工作 。 

(1) 减少 了 计算 机 网 络 理论 部 分 的 内 容 和 难度 ,删除 了 过 时 的 内 容 , 简 化 了 使 用 不 多 的 
部 分 内 容 。 

(2) 对 部 分 章节 内 容 进 行 了 合并 ,压缩 了 篇 幅 ( 如 原 防火 墙 的 内 容 并 入 “网 络 攻 防 技 术 ” 
一 章 )5 

(3) 增加 了 一 些 新 知识 、 新 技术 ,对 原版 本 中 所 涉及 的 软件 工具 内 容 进行 了 升级 ,重点 
增加 了 一 些 实用 的 网 络 安全 新 技术 和 软件 的 应 用 实践 内 容 ( 如 增加 了 “无 线 网 络 安全 ”和 “网 
络 安全 实践 ?相关 内 容 ) 。 

本 次 修订 中 增加 的 “网 络 安全 实践 "一 章 , 包 括 新 增加 的 网 络 安全 应 用 实例 以 及 对 原 有 
网 络 安全 应 用 实践 进行 升级 的 内 容 。 这 些 应 用 实例 的 实用 性 和 可 操作 性 都 较 强 。 该 章 既 可 
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作为 与 前 面 各 章 内 容 相 对 应 的 “实验 指导 书 ”, 也 可 单独 作为 掌握 一 定 网 络 安全 基础 知识 的 
读者 的 网 络 安全 实践 教材 或 参考 书 。 通过 学 习 和 实践 这 些 相 关 实 例 , 读 者 可 以 了 解 和 掌握 
网 络 安全 工具 (软件 ) 的 应 用 和 操作 技能 。 

修订 后 全 书 共 9 章 , 内 容 包 括 网 络 安全 概述 、 网 络 操作 系统 安全 、 网 络 实体 安全 、 网 络 数 
据 库 与 数据 安全 数据 加 密 技术 与 应 用 、 网 络 攻防 技 术 、 互 联网 安全 ,无 线 网 络 安 全 和 网 络 安 
全 实践 。 

本 书 内 容 安排 合理 ,逻辑 性 强 ,重点 突出 ,通俗 易 懂 。 本 书 可 作为 高 等 院 校 信息 安全 、 计 
算 机 ,通信 等 专业 的 教材 ,也 可 作为 网 络 管理 人 员 、 网 络 工程 技术 人 员 和 信息 安全 管理 人 员 
及 对 网 络 安全 感 兴趣 的 读者 的 参考 书 。 本 书 涉及 的 内 容 比 较 广 泛 , 读 者 在 学 习 和 参考 时 ,可 
在 内 容 、 重 点 和 深度 上 酌情 取舍 。 

本 书 由 刘 远 生 任 主编 , 李 民 、 张 伟 任 副 主编 。 刘 远 生 编 写 了 第 1 和 第 5 章 , 李 民 编 写 了 
第 3 和 第 8 章 , 张 伟 编写 了 第 9 章 , 韩 长 军 编写 了 第 2 章 , 李 荣 霞 编写 了 第 4 章 , 龙 海燕 编写 
了 第 6 和 第 7 章 , 全 书 由 刘 远 生 统 阅 定稿 。 

本 书 的 修订 编写 得 到 了 清华 大 学 出 版 社 的 大 力 支 持 ,在 此 表示 衷心 的 感谢 。 

网 络 安全 内 容 庞杂 ,技术 发 展 迅 速 , 由 于 编者 水 平 有 限 ,加 之 时 间 仓 促 , 书 中 难免 存在 不 
当 之 处 ,殷切 希望 各 位 读者 提出 宝贵 意见 ,恳请 各 位 专家 ,学 者 给 予 批评 指正 。 

本 书 的 部 分 习题 答案 可 以 从 清华 大 学 出 版 社 网 站 www. tup. com. cn 下 载 。 关 于 资源 
下 载 和 本 书 使 用 中 的 问题 ,可 以 发 邮件 到 邮箱 fuhy@tup. tsinghua. edu. cn。 


编 者 
2018 年 3 月 
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第 1 章 网 络 安全 概述 


本 章 要 点 

。 网 络 安 全 的 概念 ,特征 和 安全 目标 ; 
。 网 络 的 安全 的 威胁 和 风险 ; 

。 网 络 安全 体系 结构 ; 

。 网 络 安全 的 策略 和 技术 ; 

。 网 络 安全 的 评价 准则 ; 

。 网 络 系统 安全 的 日 常 管理 。 


随 着 计算 机 网 络 技术 的 迅速 发 展 和 普及 应 用 ,人 类 已 进入 网 络 化 、 信 息 化 和 数字 化 时 
代 , 计 算 机 网 络 技术 的 发 展 与 应 用 已 成 为 影响 一 个 国家 或 地 区 政治 经济、 军事、 科学 与 文化 
发 展 的 重要 因素 之 一 ,也 是 影响 人 们 日 常生 活 的 重要 因素 。 但 由 于 计算 机 网 络 具有 开放 性 
和 互联 性 等 特征 ,因此 极 易 受到 异常 因素 的 影响 ,如 网 络 受到 黑客 和 病毒 的 攻击 和 入侵 ,使 
网 络 系统 遭 到 破坏 ,导致 信息 的 泄露 或 丢失 。 因 此 ,如 何 有 效 地 保证 网 络 系统 安全 ,已 成 为 
人 们 非常 关注 的 问题 。 

本 章 主要 介绍 网 络 安全 的 概念 、 网 络 安全 的 威胁 与 风险 管理 .网 络 安全 体系 结构 、 网 络 
安全 策略 与 技术 网络 安全 级 别 和 网 络 系统 安全 的 日 常 管理 等 内 容 。 


1.1 网 络 安全 概论 


网 络 安全 是 一 门 涉及 领域 相当 广泛 的 学 科 , 这 是 因为 在 目前 的 公用 通信 网 络 中 存在 着 
各 种 各 样 的 安全 漏洞 和 威胁 。 凡 是 涉及 网 络 上 信息 的 机 密 性 、 完 整 性 .可 用 人 性、 真实 性 和 可 
控 性 的 相关 技术 和 理论 都 是 网 络 安全 的 研究 范围 。 


1.1.1 网 络 安全 的 概念 


网 络 安全 本 质 上 就 是 网 络 上 的 信息 系统 安全 。 网 络 安全 包括 系统 安全 运行 和 系统 信息 
安全 保护 两 方面 。 信 息 系统 的 安全 运行 是 信息 系统 提供 有 效 服务 ( 即 可 用 性 ?的 前 提 , 信 息 
的 安全 保护 主要 是 确保 数据 信息 的 机 密 性 和 完整 性 。 

从 不 同 的 角度 来 看 ,网 络 安全 又 具有 不 同 的 含义 。 

从 用 户 ( 个 人 ,企业 等 ) 的 角度 来 讲 , 他 们 希望 涉及 个 人 隐私 或 商业 利益 的 信息 在 网 络 上 
传输 时 受到 机 密 性 、 完 整 性 和 真实 性 的 保护 ,避免 其 他 人 或 对 手 利 用 窃听 冒充 、 臭 改 或 抵赖 
等 手段 对 用 户 的 利益 和 隐私 造成 损害 ,同时 也 希望 当 信息 保存 在 某 个 网 络 系统 中 时 ,不 受 其 
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他 非法 用 户 的 非 授权 访问 和 破坏 。 

从 网 络 运行 和 网 络 管理 者 的 角度 来 讲 ,他们 和 希望 对 本 地 网 络 信息 的 访问 操作 能 够 得 到 
保护 和 控制 ,避免 遭受 病毒 ,非法 存 取 拒绝 服务 或 网 络 资源 的 非法 占用 及 非法 控制 等 威胁 ， 
制止 和 防御 网 络 黑客 的 攻击 。 

对 安全 保密 部 门 来 讲 , 他 们 和 希望 对 非法 的 有 害 的 或 涉及 国家 或 地 区 机 密 的 信息 进行 过 
滤 和 防护 ,防止 其 通过 网 络 泄露 ,避免 由 于 这 类 信息 的 泄露 对 社会 产生 危害 ,给 国家 造成 巨 
大 的 经 济 损失 ,甚至 威胁 到 国家 安全 。 

从 社会 教育 和 意识 形态 角度 来 讲 , 网 络 上 不 健康 的 内 容 会 对 社会 的 稳定 和 人 类 的 发 展 
造成 阻碍 ,必须 对 其 进行 控制 。 

由 此 可 见 , 网 络 安全 在 不 同 的 环境 和 具体 的 应 用 中 可 以 有 不 同 的 解释 。 


1.1.2 网 络 安全 目标 


网 络 安全 的 目标 主要 表现 在 系统 的 可 用 性 、 可 靠 性 ,机密 性 、 完 整 性 ,不 可 抵赖 性 及 可 控 
性 等 方面 。 

1. 可 用 性 

可 用 性 是 网 络 信息 可 被 授权 实体 访问 并 按 需 求 使 用 的 特性 。 网 络 最 基本 的 功能 就 是 为 
用 户 提供 信息 和 通信 服务 ,而 用 户 对 信息 和 通信 的 需求 是 随机 的 (内 容 的 随机 性 和 时 间 的 随 
机 性 ) ,多 方面 的 (文字 语音、 图像 等 ), 有 的 用 户 还 对 服务 的 实时 性 有 较 高 的 要 求 。 网 络 必 
须 能 保证 所 有 用 户 的 通信 和 需要 ,一 个 授权 用 户 无 论 何 时 提出 要 求 ,网 络 都 必须 是 可 用 的 ,不 
能 拒绝 用 户 的 要 求 。 网 络 环境 下 拒绝 服务 ,破坏 网 络 和 有 关系 统 的 正常 运行 等 都 属于 对 可 
用 性 的 攻击 。 对 于 此 类 攻击 ,一 方面 要 采取 物理 加 固 技术 ,保障 物理 设备 安全 .可 靠 地 工作 ; 
男 一 方面 要 通过 访问 控制 机 制 ,阻止 非法 用 户 进 入 网 络 。 

2. 可 靠 性 

可 靠 性 是 指 网 络 信息 系统 能 够 在 规定 条 件 下 和 规定 时 间 内 ,实现 规定 功能 的 特性 。 可 
靠 性 是 网 络 安全 最 基本 的 要 求 之 一 ,是 所 有 网 络 信息 系统 建设 和 运行 的 目标 。 目 前 ,对 于 网 
络 可 靠 性 的 研究 偏重 于 硬件 方面 ,主要 采用 硬件 元 余 、 提 高 可 靠 性 和 精确 度 等 方法 。 实 际 
上 ,软件 的 可 靠 性 、 人 员 的 可 靠 性 和 环境 的 可 靠 性 在 保证 系统 可 靠 性 方面 也 是 非常 重要 的 。 

3. 机 密 性 

机 密 性 是 网 络 信息 不 被 泄露 给 非 授 权 用 户 和 实体 ,或 供 其 利用 的 特性 。 这 些 信息 不 仅 
指 国家 或 地 区 的 机 密 , 也 包括 企业 和 社会 团体 的 商业 和 工作 秘密 ,还 包括 个 人 的 秘密 (如 银 
行 账号 ) 和 个 人 隐私 等 。 机 密 性 主要 通过 信息 加 密 、 身 份 认 证 ,访问 控制 ,安全 通信 协议 等 技 
术 实 现 , 它 是 在 可 用 性 和 可 靠 性 的 基础 上 ,保障 网 络 信息 安全 的 重要 手段 。 

4. 完整 性 

完整 性 是 网 络 信息 未 经 授权 不 能 进行 改变 的 特性 。 网 络 信息 在 存储 或 传输 的 过 程 中 应 
保证 不 被 偶然 或 蓄意 地 自 改 或 伪造 ,确保 授权 用 户 得 到 的 信息 是 真实 的 。 如 果 信 息 被 未 经 
授权 的 实体 修改 了 或 在 传输 的 过 程 中 出 现 错误 :信息 的 使 用 者 应 能 够 通过 一 定 的 方式 判断 
出 信息 是 否 真实 可 靠 。 

5. 不 可 抵赖 性 

不 可 抵赖 性 也 称 可 审查 性 ,是 指 通信 双方 在 通信 过 程 中 .对 自己 所 发 送 或 接收 的 消息 不 


可 抵赖 , 即 发 送 者 不 能 否认 其 发 送 过 消息 的 事实 和 消息 的 内 容 , 接 收 者 也 不 能 否认 其 接收 到 
消息 的 事实 和 内 容 。 

6. 可 控 性 

可 控 性 是 对 网 络 信息 的 内 容 及 其 传播 具有 控制 能 力 的 特性 。 保 障 系统 依据 授权 提供 服 
务 , 使 系统 在 任何 时 候 都 不 被 非 授 权 人 使 用 ,对 黑客 入 侵 、 口 令 攻击 、 用 户 权 限 非法 提升 、 资 
源 非法 使 用 等 采取 防范 措施 。 


1.2 网 络 安全 面临 的 威胁 与 风险 


网 络 的 开放 性 和 共享 性 在 方便 人 们 使 用 的 同时 ,也 使 得 网 络 系统 容易 受到 黑客 攻击 。 
网 络 的 安全 威胁 是 指 对 网 络 系统 的 网 络 服务 、 网 络 信息 的 机 密 性 和 可 用 性 产生 不 利 影响 的 
各 种 因素 。 网 络 威胁 也 包括 缓冲 区 溢出 、 假 冒 用 户 、 电 子 欺骗 等 安全 漏洞 。 


1.2.1 网 络 安 全 汤 油 


目前 ,没有 安全 漏洞 的 计算 机 网 络 几乎 是 不 存在 的 。 而 正 是 因为 这 些 漏 洞 才 使 得 攻击 
能 够 成 功 ,从 而 引起 了 攻击 者 的 兴趣 。 安 全 漏洞 是 网 络 被 攻击 的 客观 原因 , 它 与 许多 技术 因 
素 有 关 。 

1. 漏洞 的 概念 

从 广义 上 讲 ,漏洞 是 在 硬件 .软件 ,协议 的 具体 实现 或 系统 安全 策略 以 及 人 为 因素 上 存 
在 的 缺陷 ,从 而 可 以 使 攻击 者 能 够 在 未 经 系统 合法 用 户 授 权 的 情况 下 访问 或 破坏 系统 。 全 
世界 的 路 由 器 、 服 务 器 和 客户 端 软 件 .操作 系统 和 防火 墙 等 每 时 每 刻 都 会 有 很 多 漏洞 出 现 ， 
它们 会 影响 到 很 大 范围 内 的 网 络 安全 。 

漏洞 是 由 于 系统 设计 人 员 、 制 造 人 员 、 检 测 人 员 或 管理 人 员 的 疏忽 或 过 失 而 隐藏 在 系统 
中 的 。 发 现 漏洞 的 人 主要 包括 计算 机 专家 、 黑 客 、 安 全 服务 商 \ 安 全 组 织 、 系 统管 理 员 和 个 人 
用 户 等 。 当 发 现 漏洞 时 ,计算 机 专家 和 安全 服务 商 组 织 通常 会 向 安全 组 织 机 构 发 出 警告 。 
黑客 发 现 新 漏洞 后 会 采用 新 的 攻击 方法 进行 网 络 攻击 ,新 的 攻击 方法 意味 着 新 漏洞 的 发 现 ， 
因此 黑客 是 通过 网 络 攻击 活动 间接 发 布 漏洞 信息 的 。 

1988 年 美国 的 莫 里 斯 蠕虫 事件 ,导致 上 千 台 计算 机 崩溃 ,造成 了 巨大 的 损失 ,使 人 们 认 
识 到 网 络 安全 状况 的 脆弱 性 和 突 发 性 ,以 及 对 网 络 安全 事件 进行 紧急 响应 的 重要 性 。 在 美 
国 国防 部 资助 下 , 卡 内 基 梅 隆 大 学 软件 工程 研究 中 心 成 立 了 世界 上 第 一 个 计算 机 紧急 响应 
小 组 (Computer Emergency Response Team,CERT)。 这 些 年 来 .CERT 在 反击 大 规模 的 网 
络 人 侵 方面 起 到 了 重要 作用 。CERT 是 著名 的 信息 安全 组 织 , 专 门 处 理 计算 机 网 络 安全 问 
题 。CERT 主要 提供 针对 新 的 安全 漏洞 发 布 建议 ,24 小 时 全 天 候 为 遭受 破坏 的 用 户 提 供 重 
要 技术 意见 ,利用 它 的 Web 站 点 提供 有 用 的 安全 信息 等 服务 。 

2. 漏洞 类 型 

根据 漏洞 的 载体 (网 络 实 体 ) 类 型 ,漏洞 主要 分 为 操作 系统 漏洞 .网 络 协议 漏洞 .数据 库 
漏洞 和 网 络 服务 漏洞 等 。 











1) 操作 系统 漏洞 1 
任何 操作 系统 都 可 能 存在 漏洞 ,这 些 漏洞 产生 的 原因 很 多 ,主要 有 以 下 几 种 。 章 
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(1) 操作 系统 陷 门 。 一 些 操作 系统 为 了 安装 其 他 公司 的 软件 包 而 保留 了 一 种 特殊 的 管 
理 程序 功能 ,尽管 此 功能 的 调用 需要 以 特权 方式 进行 ,但 如 果 未 受到 严密 的 监控 和 必要 的 认 
证 限制 ,就 有 可 能 形成 操作 系统 陷 门 。 

(2) 输入 输出 的 非法 访问 。 有 些 操作 系统 一 旦 输入 /输出 (1/O) 操 作 被 检查 通过 后 ,该 
操作 系统 就 会 继续 执行 下 去 而 不 再 检查 ,从 而 造成 后 续 操作 的 非法 访问 。 还 有 些 操 作 系 统 
使 用 公共 系统 缓冲 区 ,任何 用 户 都 可 以 搜索 该 缓冲 区 ,如 果 该 缓冲 区 没有 严格 的 安全 措施 ， 
那么 其 中 的 机 密 信息 (如 用 户 的 认证 数据 .口令 等 ) 就 有 可 能 被 泄露 。 

(3) 访问 控制 的 混乱 。 在 操作 系统 中 ,安全 访问 强调 隔离 和 保护 措施 ,而 资源 共享 要 求 
开放 。 如 果 在 设计 操作 系统 时 不 能 处 理 好 这 二 者 之 间 的 矛盾 关系 ,就 可 能 出 现 安全 问题 。 

(4) 不 完全 的 中 介 。 完 全 的 中 介 必 须 检查 每 次 的 访问 请 求 以 进行 适当 的 审批 ,而 某 些 
操作 系统 却 省 略 了 必要 的 安全 保护 。 要 建立 安全 的 操作 系统 ,必须 构造 操作 系统 的 安全 模 
型 和 不 同 的 实施 方法 。 另 外 ,还 需要 建立 和 完善 操作 系统 的 评估 标准 .评价 方法 和 测试 
质量 。 

2) 网 络 协议 漏洞 

TCP/IP 的 目标 是 保证 通信 和 传输 。TCP/IP 没有 内 在 的 控制 机 制 支持 源 地 址 的 鉴别 ， 
这 是 TCP/IP 存在 漏洞 的 根本 原因 。 黑 客 就 会 利用 TCP/IP 的 漏洞 ,使 用 侦 听 方法 来 获取 
数据 ,对 数据 进行 检查 、 推 测 TCP 的 序列 号 、 修 改 传输 路 由 、 修 改 鉴别 过 程 . 插 入 黑客 指 

3) 数据 库 漏 洞 

数据 库 管 理 系统 CDBMS) 作 为 操作 系统 的 应 用 程序 ,其 库 文件 可 以 被 看 作 操作 系统 上 
的 一 个 客体 ,其 应 用 进程 又 是 操作 系统 的 主体 。 因 此 ,数据 库 的 安全 是 以 操作 系统 的 安全 为 
基础 的 ,没有 操作 系统 的 安全 ,就 谈 不 上 数据 库 的 安全 。 但 是 ,并 不 是 有 了 安全 的 操作 系统 ， 
就 能 绝对 保证 数据 库 的 安全 。 由 于 对 数据 库 的 管理 是 建立 在 分 级 管理 的 概念 上 的 ,所 以 其 
安全 性 不 是 绝对 的 。 

4) 网 络 服务 漏洞 

(1) 匿名 FTP。 匿 名 FTP 是 人 们 常用 的 一 种 FTP 服务 方式 。 多 数 FTP 服务 器 可 以 
用 Anonymous 用 户 名 登录 ,这 样 就 存在 用 户 破坏 系统 和 文件 的 可 能 性 。 另 外 ,上 传 的 软件 
可 能 具有 破坏 性 ,大 量 上 传 的 文件 还 会 耗费 磁盘 空间 。 建 立 匿名 服务 器 时 ,应 当 确 保 用 户 不 
能 访问 系统 的 重要 部 分 ,尤其 是 包含 系统 配置 信息 的 文件 目录 。 如 果 没 必要 使 用 匿名 登录 ， 
应 将 其 关闭 ,并 定时 检查 服务 器 日 志 。 

(2) 电子 邮件 。 电 子 邮件 服务 器 本 身 就 存在 安全 漏洞 ,一 旦 漏洞 被 黑客 利用 就 可 能 对 
网 络 造成 巨大 的 威胁 。 如 UNIX/Linux 系统 的 邮件 服务 器 Sendmail 是 以 root 账号 运行 
的 ,如 果 黑 客 掌握 了 这 个 漏洞 就 可 以 利用 它 来 攻击 系统 。 曾 经 就 有 蠕虫 病毒 利用 Sendmail 
的 安全 缺陷 使 大 批 的 网 络 服务 器 陷于 瘫痪 的 案例 。 

(3) 域名 服务 (DNS)。DNS 需要 用 户 提 供用 户 机 器 的 硬件 和 软件 信息 。 黑 客 经 常 把 
它 作为 一 种 攻击 目标 。 假 冒 的 DNS 服务 器 可 能 会 提供 一 些 错 误 的 信息 甚至 错误 的 域名 解 
析 ,这 样 就 造成 了 DNS 欺骗。 

(4) Web 服务 。Web 服务 器 本 身 存 在 一 些 漏 洞 ,如 IIS( 运 行 于 Windows 下 ) 和 Apache 
(运行 于 UNIX 下 ) 本 身 的 漏洞 ,使 得 黑客 能 人 侵 到 主机 系统 ,破坏 一 些 重要 数据 ,甚至 造成 


系统 次 痪 。 另 外 ,程序 员 在 编写 CGI 程序 时 会 留 下 一 些 bug, 从 而 为 网 络 攻击 者 创造 了 
条 件 。 

3. 县 型 的 网 络 结构 及 安全 漏洞 

典型 的 网 络 结构 及 安全 漏洞 如 图 1. 2. 1 所 示 ,这 些 安全 漏洞 及 其 原因 有 : 

(1) 不 充分 的 路 由 器 访问 控制 。 配 置 不 当 的 路 由 器 ACL 会 使 ICMP、IP 和 NetBIOS 
信息 泄露 ,从 而 导致 对 目标 网 点 DMZ 上 服务 器 所 提供 的 服务 进行 未 授权 的 访问 。 

(2) 未 实施 安全 措施 且 无 人 监管 的 远程 访问 网 点 ,容易 成 为 攻击 者 进入 网 络 的 入 口 。 

(3) 操作 系统 和 应 用 程序 版 本 、 用 户 或 用 户 组 、 共 享 资 源 .DNS 信息 以 及 运行 中 的 服务 
(如 SNMP) 等 信息 不 经 意 地 汇 露 给 攻击 者 。 

(4) 运行 非 必要 服务 (如 FTP 等 ) 的 主机 提供 了 进入 内 部 网 络 的 通路 。 

(5) 客户 机 上 级 别 低 的 、 易 于 被 猪 中 或 重用 的 口令 使 服务 器 易 被 入 侵 。 

(6) 具有 太 多 特权 的 用 户 账号 或 测试 账号 。 

(7) 配置 不 当 的 Internet 服务 器 ,特别 是 Web 服务 器 上 CGI 脚本 和 匿名 FTP。 

(8) 配置 不 当 的 防火 墙 或 路 由 器 允许 直接 侵入 某 个 服务 器 后 访问 内 部 系统 。 

(9) 没有 打 过 补丁 的 .过 时 的 脆弱 的 或 遗留 在 默认 配置 状态 的 软件 。 

(10) 过 度 的 文件 和 目录 访问 控制 。 

(11) 过 度 的 信任 关系 将 给 攻击 者 提供 未 授权 访问 敏感 信息 的 机 会 。 

(12) 不 加 认证 的 服务 。 

(13) 没有 采纳 公认 的 安全 策略 ,规程 .指导 和 最 低 基 线 标准 。 


(漏洞 3 、4、7) 





因特网 /DMZ 服 务 器 (漏洞 9 、10) 





边界 路 由 器 。 ， wa 内 部 路 由 器 
(漏洞 ) 防火 墙 ( 湄 洞 11、13) 
专线 
CO 
网 
二 远程 访问 服务 器 
(漏洞 2) 部 门 办 公 室 
(漏洞 11) 





移动 用 户 /家 庭 用 户 
图 1.2.1 典型 的 计算 机 网 络 结构 及 安全 漏洞 


1.2.2 网 络 安全 的 威胁 


网 络 安全 的 威胁 来 自 于 网 络 中 存在 的 不 安全 因素 。 网 络 不 安全 因素 有 两 方面 : 一 方面 | 1 
是 网 络 本 身 的 不 可 靠 性 和 脆弱 性 ; 另 一 方面 是 人 为 破坏 ,这 也 是 网 络 安全 的 最 大 威胁 。 网 | 章 
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络 安全 的 主要 威胁 有 以 下 几 种 。 

1. 物理 威胁 

物理 威胁 在 网 络 中 是 最 难 控制 的 , 它 可 能 来 源 于 外 界 的 有 意 或 无 意 的 破坏 。 物 理 威胁 
有 时 可 以 造成 致命 的 系统 破坏 。 因 此 ,防范 物理 威胁 是 很 重要 的 。 但 在 网 络 管理 和 维护 中 
很 多 物理 威胁 往往 被 忽略 ,如 网 络 设备 被 盗 等。 另外 ,在 更 换 设备 时 ,注意 销毁 无 用 系统 信 
息 也 很 重要 。 如 在 更 换 磁盘 时 ,必须 对 不 用 的 磁盘 进行 格式 化 处 理 , 因 为 利用 反 删 除 软件 很 
容易 获取 仅 从 磁盘 上 删除 的 文件 。 

2. 操作 系统 缺陷 

操作 系统 是 用 户 在 使 用 计算 机 前 必须 安装 的 系统 软件 。 很 多 操作 系统 在 安装 时 都 存在 
端口 开放 无 认证 服务 和 初始 化 配置 问题 ,而 这 些 又 是 操作 系统 自 带 的 系统 应 用 程序 ,如 果 
这 些 应 用 程序 有 安全 缺陷 ,那么 系统 就 会 处 于 不 安全 状态 ,这 将 极 大 地 影响 系统 的 信息 
E 

3. 网 络 协议 缺陷 

由 于 TCP/IP 在 最 初 设 计时 并 没有 把 安全 作为 考虑 重点 ,而 所 有 的 应 用 协议 都 是 基于 
TCP/IP 的 ,因此 各 种 网 络 低层 协议 本 身 的 缺陷 将 会 极 大 地 影响 上 层 应 用 的 安全 。 

4. 体系 结构 缺陷 

在 现实 应 用 中 ,大 多 数 体系 结构 的 设计 和 实现 都 存在 着 安全 问题 ,即使 是 完美 的 安全 体 
系 结构 ,也 有 可 能 会 因为 一 个 小 小 的 编程 缺陷 而 被 攻击 。 另 外 ,安全 体系 中 的 各 种 构件 如 果 
缺乏 密切 的 合作 ,也 容易 导致 整个 系统 被 各 个 击破 。 

5. 黑客 程序 

黑客 (Hacker) 的 原意 是 指 具 有 高 超编 程 技 术 、 强 烈 解决 问题 和 克服 限制 欲望 的 人 ,而 
现在 是 泛 指 那些 强行 闻 入 系统 或 以 某 种 恶意 的 目的 破坏 系统 的 人 。 黑 客 程序 是 一 类 专门 用 
于 通过 网 络 对 远程 计算 机 设备 进行 攻击 ,进而 控制 窃取 ,破坏 信息 的 软件 程序 。 

6. 计算 机 病毒 

计算 机 病毒 是 指 在 计算 机 程序 中 编制 或 插入 的 ,破坏 计算 机 功能 或 数据 、 影 响 计算 机 使 
用 有 旦 能 够 自我 复制 的 一 组 计算 机 指令 或 程序 代码 , 它 具 有 寄生 性 、 潜 伏 性 、 传 染 性 和 破坏 性 
等 特征 。 随 着 网 络 技 术 的 发 展 ,计算 机 病毒 的 种 类 越 来 越 多 ,如 系统 病毒 、 脚 本 病毒 、 宏 病 
毒 、 后 门 病毒 和 捆绑 机 病毒 等 。 


1.2.3 网 络 安全 的 风险 评估 


由 于 网 络 系统 会 受到 多 种 形式 的 威胁 ,所 以 绝对 安全 与 可 靠 的 网 络 系统 是 不 存在 的 ,只 
能 通过 一 定 的 措施 把 风险 降 到 一 个 可 以 接受 的 程度 。 定 期 对 企业 的 安全 工作 进行 分 析 是 非 
常 重要 的 ,但 同样 不 可 轻视 的 还 包括 在 这 个 过 程 中 进行 网 络 风险 评估 。 

风险 评估 (Risk Assessment) 是 对 信息 资产 面临 的 威胁 ,存在 的 弱点 .造成 的 影响 ,以 及 
三 者 综合 作用 而 带 来 风险 的 可 能 性 的 评估 。 作 为 风险 管理 的 基础 ,风险 评估 是 确定 信息 安 
全 需求 的 一 个 重要 途径 ,属于 组 织 信息 安全 管理 体系 策划 的 过 程 。 

网 络 安全 的 风险 评估 是 有 效 保证 信息 系统 安全 的 前 提 条 件 。 只 有 准确 地 了 解 系统 的 安 
全 需求 .安全 漏洞 及 其 可 能 的 危害 ,才能 制定 并 实施 正确 的 安全 策略 。 另 外 ,风险 评估 也 是 
制定 安全 管理 措施 的 依据 之 一 。 网 络 风险 评估 包括 对 来 自 企 业 外 部 的 网 络 风 险 和 企业 内 部 


网 络 风险 进行 评估 。 对 企业 内 部 的 网 络 风险 评估 与 外 部 的 风险 评估 使 用 相同 的 方法 ,不 过 
要 从 访问 内 网 的 用 户 角度 来 指导 进行 。 

通过 对 网 络 系统 全 面 、 充 分 有 效 的 安全 评估 ,能 够 快速 检测 出 网 络 上 存在 的 安全 隐患、 
网 络 系统 中 存在 的 安全 漏洞 .网 络 系统 的 抗 攻击 能 力 等 。 根 据 对 网 络 业 务 的 安全 需求 .安全 
策略 和 安全 目标 的 评估 结果 ,可 以 提出 合理 的 安全 防护 措施 建议 。 网 络 安全 评估 主要 有 以 


下 项 目 。 


。 安全 策略 评估 。 

。 网 络 物理 安全 评估 。 

。 网络 隔离 的 安全 性 评估 。 

。 系统 配置 的 安全 性 评估 。 

。 网络 防护 能 力 评估 。 

。 网 络 服务 的 安全 性 评估 。 

。 网 络 应 用 系统 的 安全 性 评估 。 

。 病 毒 防护 系统 的 安全 性 评估 。 

。 数据 备份 的 安全 性 评估 。 

网 络 安全 在 过 去 一 直 倾向 于 采取 被 动 式 管理 的 防护 策略 ,被 动 式 防护 所 使 用 的 设备 及 





工具 也 是 最 省 寻 


有 且 直 接 有 效 的 ,例如 防火 墙 \ 入 侵 检 测 等 。 但 在 复合 式 病 毒 出 现 后 ,被 动 式 


防护 策略 的 防御 力 已 显得 不 足 。 漏 洞 扫 描 仪 是 网 络 安全 中 评估 弱点 及 风险 的 重要 工具 ,其 
主要 功能 是 找 出 网 络 主机 及 设备 的 漏洞 和 隐藏 性 风险 以 及 鉴定 网 络 架 构 的 安全 程度 ,可 对 
SMTP、POP、.HTTP、FTP、SNMP、Telnet、SSH、NFS 等 协议 和 账号 密码 的 管理 朴 失 及 不 当 
的 设 定做 安全 检测 。 它 还 可 对 防火 墙 \ 路 由 器 等 硬件 设备 以 及 数据 库 服 务 器 等 进行 检测 。 


漏洞 扫描 后 所 产 


“ 生 的 风险 评估 安全 报告 也 可 分 别提 供给 管理 者 及 技术 人 员 , 管 理 者 报告 仅 


提供 了 解 整个 网 络 的 安全 状态 及 风险 程度 分 析 ,而 技术 人 员 报 告 则 提供 每 一 个 弱点 说 明 、 修 
补 建议 和 修补 方法 。 这 样 可 将 隐藏 性 风险 及 威胁 降 至 最 低 ,使 原本 必需 大 费 周折 的 弱点 安 
全 评估 工作 变 得 轻松 容易 。 


一 般 来 说 ， 


一 个 有 效 的 网 络 风险 评估 测试 方法 可 以 解决 以 下 问题 。 


。 防火 墙 配置 不 当 的 外 部 网 络 拓扑 结构 。 

。 路 由 器 过 滤 规 则 和 设置 不 当 。 

。 弱 认 证 机 制 。 

。 配置 不 当 或 易 受 攻击 的 电子 邮件 和 DNS 服务 器 。 
。 潜在 的 网 络 层 Web 服务 器 漏洞 。 


。 配置 不 


当 的 数据 库 服务 器 。 


。 易 受 攻击 的 FTP 服务 器 。 


1.3 网 络 安全 体系 结构 


网 络 安全 体系 结构 是 网 络 安全 层次 的 抽象 描述 。 在 大 规模 的 网 络 工 程 建设 、 管 理 及 基 


于 网 络 安全 系统 的 设计 与 开发 过 程 中 ,需要 从 全 局 的 体系 结构 角度 考虑 安全 问题 的 整体 解 | 第 


决 方案 ,才能 保 


证 网 络 安全 功能 的 完备 性 和 一 致 性 ,降低 安全 代价 和 管理 开销 。 这 样 一 个 网 





1 


地 
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络 安全 体系 结构 对 于 网 络 安全 的 设计 实现 与 管理 都 有 重要 的 意义 。 

网 络 安全 是 一 个 范围 较 广 的 研究 领域 ,人 们 一 般 都 只 是 在 该 领域 中 的 一 个 小 范围 做 自 
己 的 研究 ,开发 能 够 解决 某 种 特殊 的 网 络 安全 问题 方案 。 例 如 ,有 人 专门 研究 加 密 和 鉴别 ， 
有 人 专门 研究 人 侵 和 检测 ,有 人 专门 研究 黑客 攻击 等 。 网 络 安 全 体系 结构 就 是 从 系统 化 的 
角度 理解 这 些 安全 问题 的 解决 方案 ,对 研究 、 实 现 和 管理 网 络 安全 的 工作 具有 全 局 指导 
作用 。 


1.3.1 OSI 安全 体系 


1. OSI 参考 模型 

OSI 参考 模型 是 国际 标准 化 组 织 (ISO ) 为 解决 异种 机 互 连 而 制定 的 开放 式 计算 机 网 络 
层次 结构 模型 , 它 的 最 大 优点 是 将 服务 、 接 口 和 协议 这 三 个 概念 明确 地 区 分 开 来 。OSI 参考 
模型 将 计算 机 网 络 划分 为 七 个 层次 , 自 下 而 上 分 别 为 物理 层 、 数 据 链 路 层 、 网 络 层 \ 传 输 层 、 
会 话 层 、 表 示 层 和 应 用 层 。 

ISO 于 1989 年 2 月 公布 的 ISO 7498-2《 网 络 安全 体系 结构 ) 文 件 , 给 出 了 OSI 参考 模型 
的 安全 体系 结构 ,简称 OSI 安全 体系 结构 。 这 是 一 个 普遍 适用 的 安全 体系 结构 , 它 对 具体 
网 络 的 安全 体系 结构 具有 指导 意义 ,其 核心 内 容 是 保证 异 构 网 络 系统 之 间 远 距离 交换 信息 
的 安全 。 

OSI 安全 体系 结构 主要 包括 网 络 安全 机 制 和 网 络 安全 服务 两 方面 的 内 容 。 网 络 安全 机 
制 和 安全 服务 与 OSI 网 络 层次 之 间 形 成 了 一 定 的 逻辑 关系 。 

2. 网 络 安全 机 制 

在 《网络 安全 体系 结构 ) 文 件 中 规定 的 网 络 安全 机 制 有 八 项 : 加 密 机 制 .数字 签名 机 制 、 
访问 控制 机 制 . 数 据 完整 性 机 制 、. 交 换 鉴别 机 制 、 信 息 量 填 充 机 制 . 路 由 控制 机 制 和 公证 机 
制 。OSI 安 全 体系 结构 .OSI 安全 服务 、 安 全 机 制 及 OSI 层次 之 间 的 关系 如 图 1. 3. 1、 
表 1.3.1 和 表 1.3.2 所 示 。 


和 Osi 参考 模 开 
7 十 应 用 层 
6 一 | 表示 层 


5 一 | 会 话 层 





安全 机 制 





控 


名 制 





安全 服务 
图 1.3.1 OSI 网 络 安全 体系 结构 


表 1.3.1 与 网 络 各 层 相关 的 OSI 安全 服务 
OSI 层次 





安全 服务 





同等 实体 鉴别 
鉴别 服务 i 
访问 控制 访问 控制 服务 
带 恢复 功能 的 连接 完整 性 
不 带 恢复 功能 的 连接 完整 性 
数据 完整 性 选择 字段 连接 完整 性 
选择 字段 无 连接 完整 性 V 
无 连接 完整 性 
连接 保密 性 | 
数据 保密 性 无 连接 保密 性 
信息 流 保密 性 V 
发 送 非 否认 
接受 非 否 认 
注 : VV 表示 提供 安全 服务 ; 空白 表示 不 提供 安全 服务 。 








A | 吕 











人 | 人 | 人 | 人 | 人 | = 

















和 | 入 





六 | 入 | 和 





非 否 认 服务 


























多 
| 友 | 才 | 生生 | 委 | 委 | 安吉 | 全 || 和 | 二 | 又 | 喜 





表 1.3.2 OSI 安 全 服务 与 安全 机 制 的 关系 
安全 机 制 


安全 服务 数字 | 访问 | 数据 | 交换 | 信息 | 路 由 | ，、. 
加 密 i 公证 
签名 | 控制 | 完整 性 | 鉴别 | 量 填充 | 控制 


V V 








同等 实体 鉴别 
数据 源 鉴别 
访问 控制 访问 控制 Vv 
带 恢复 功能 的 连接 完整 性 
不 带 恢复 功能 的 连接 完整 性 
数据 完整 性 | 选择 字段 连接 完整 性 

选择 字段 无 连接 完整 性 
无 连接 完整 性 

连接 保密 性 

数据 保密 性 | 无 连接 保密 性 
信息 量 保密 性 

发 送 非 否认 Vv 
接受 非 否认 V 
注 : V 表示 提供 安全 服务 ; 空白 表示 不 提供 安全 服务 。 


1) 加 密 机 制 

数据 加 密 是 提供 信息 保密 的 主要 方法 .可 保护 数据 存储 和 传输 的 保密 性 。 此 外 ,加 密 技 
术 与 其 他 技术 合作 ,可 保证 数据 的 完整 性 。 

2) 数字 签名 机 制 

数字 签名 可 解决 传统 手工 签名 中 存在 的 安全 缺陷 ,在 电子 商务 中 使 用 较为 广泛 。 数 字 
签名 主要 解决 否认 问题 (发 送 方 否认 发 送 了 信息 )、 伪 造 问题 ( 某 方 伪造 了 文件 却 不 承认 ) 、 冒 


鉴别 服务 





二 























志 | 友 | 人 | 全 | 娘 











二 | 宝宝 | 关 | 宝 | 六 | 坟 


人 | 人 | 人 





非 否 认 服务 
































在 | 六 
be 
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充 问题 (冒充 合法 用 户 在 网 上 发 送 文件 ) 和 自 改 问题 (接收 方 私自 自 改 文件 内 容 ) 。 

3) 访问 控制 机 制 

访问 控制 机 制 可 以 控制 哪些 用 户 对 哪些 资源 进行 访问 ,以 及 对 这 些 资源 可 以 访问 到 什 
么 程度 。 如 非法 用 户 企图 访问 资源 ,该 机 制 则 会 加 以 拒绝 ,并 将 这 一 非法 事件 记录 在 审计 报 
告 中 。 访 问 控 制 可 以 直接 支持 数据 的 保密 性 、 完 整 性 、 可 用 性 , 它 对 数据 的 保密 性 、 完 整 性 和 
可 用 性 所 起 的 作用 是 非常 明显 的 。 

4) 数据 完整 性 机 制 

数据 完整 性 机 制 保护 网 络 系统 中 存储 和 传输 的 软件 (程序 ) 和 数据 不 被 非法 改变 ,如 添 
加 、 删 除 .修改 等 。 

5) 交换 鉴别 机 制 

交换 鉴别 机 制 是 通过 相互 交换 信息 来 确定 彼此 的 身份 。 在 计算 机 中 ,鉴别 主要 有 站 点 
鉴别 . 报 文 鉴别 ,用户 和 进程 的 认证 等 ,通常 采用 口令 、 密 码 技术 .实体 的 特征 或 所 有 权 等 手 
段 进 行 鉴别 。 

6) 信息 量 填充 机 制 

攻击 者 将 对 传输 信息 的 长 度 \、 频 率 等 特征 进行 统计 ,以 便 进行 信息 流量 分 析 , 从 中 得 到 
对 其 有 用 的 信息 。 采 用 信息 量 填充 机 制 ,可 保持 系统 信息 量 基 本 恒定 ,因此 能 防止 攻击 者 对 
系统 进行 信息 流量 分 析 。 

7) 路 由 控制 机 制 

路 由 控制 机 制 可 以 指定 通过 网 络 发 送 数据 的 路 径 , 因 此 ,采用 该 机 制 可 以 选择 那些 可 信 
度 高 的 结 点 传输 信息 。 

8) 公证 机 制 

公证 机 制 就 是 在 网 络 中 设立 一 个 公证 机 构 ,来 中 转 各 方 交换 的 信息 ,并 从 中 提取 相关 证 
据 , 以 便 对 可 能 发 生 的 纠纷 做 出 仲裁 。 

3. 网 络 安全 服务 

在 “网 络 安全 体系 结构 "文件 中 规定 的 网 络 安全 服务 有 五 项 : 鉴别 服务 .访问 控制 服务 、 
数据 完整 性 服务 .数据 保密 性 服务 和 非 和 否认 服务 。 

1) 鉴别 服务 

鉴别 服务 包括 同等 实体 鉴别 和 数据 源 鉴 别 两 种 服务 。 使 用 同等 实体 鉴别 服务 可 以 对 两 
个 同等 实体 (用 户 或 进程 ) 在 建立 连接 和 开始 传输 数据 时 进行 身份 的 合法 性 和 真实 性 验证 ， 
以 防止 非法 用 户 的 假冒 ,也 可 防止 非法 用 户 伪造 连接 初始 化 攻击 。 数 据 源 鉴别 服务 可 对 信 
息 源 点 进行 鉴别 ,确保 数据 是 由 合法 用 户 发 出 的 ,以 防 假冒 。 

2) 访问 控制 服务 

访问 控制 包括 身份 验证 和 权限 验证 。 访 问 控制 服务 防止 未 授权 用 户 非法 访问 网 络 资 
源 , 也 防止 合法 用 户 越权 访问 网 络 资源 。 

3) 数据 完整 性 服务 

数据 完整 性 服务 防止 非法 用 户 对 正常 数据 的 变更 ,如 修改 、 插 入 、 延 时 或 删除 ,以 及 在 数 
据 交 换 过 程 中 的 数据 丢失 。 数 据 完整 性 服务 可 分 为 以 下 五 种 情形 ,通过 这 些 服务 可 以 满足 
不 同 用 户 不同 场 合 对 数据 完整 性 的 要 求 。 

。 带 恢复 功能 的 面向 连接 的 数据 完整 性 。 
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充 问题 (冒充 合法 用 户 在 网 上 发 送 文件 ) 和 自 改 问题 (接收 方 私自 自 改 文件 内 容 ) 。 

3) 访问 控制 机 制 

访问 控制 机 制 可 以 控制 哪些 用 户 对 哪些 资源 进行 访问 ,以 及 对 这 些 资源 可 以 访问 到 什 
么 程度 。 如 非法 用 户 企图 访问 资源 ,该 机 制 则 会 加 以 拒绝 ,并 将 这 一 非法 事件 记录 在 审计 报 
告 中 。 访 问 控 制 可 以 直接 支持 数据 的 保密 性 、 完 整 性 、 可 用 性 , 它 对 数据 的 保密 性 、 完 整 性 和 
可 用 性 所 起 的 作用 是 非常 明显 的 。 

4) 数据 完整 性 机 制 

数据 完整 性 机 制 保护 网 络 系统 中 存储 和 传输 的 软件 (程序 ) 和 数据 不 被 非法 改变 ,如 添 
加 、 删 除 .修改 等 。 

5) 交换 鉴别 机 制 

交换 鉴别 机 制 是 通过 相互 交换 信息 来 确定 彼此 的 身份 。 在 计算 机 中 ,鉴别 主要 有 站 点 
鉴别 . 报 文 鉴别 ,用户 和 进程 的 认证 等 ,通常 采用 口令 、 密 码 技术 .实体 的 特征 或 所 有 权 等 手 
段 进 行 鉴别 。 

6) 信息 量 填充 机 制 

攻击 者 将 对 传输 信息 的 长 度 \、 频 率 等 特征 进行 统计 ,以 便 进行 信息 流量 分 析 , 从 中 得 到 
对 其 有 用 的 信息 。 采 用 信息 量 填充 机 制 ,可 保持 系统 信息 量 基 本 恒定 ,因此 能 防止 攻击 者 对 
系统 进行 信息 流量 分 析 。 

7) 路 由 控制 机 制 

路 由 控制 机 制 可 以 指定 通过 网 络 发 送 数据 的 路 径 , 因 此 ,采用 该 机 制 可 以 选择 那些 可 信 
度 高 的 结 点 传输 信息 。 

8) 公证 机 制 

公证 机 制 就 是 在 网 络 中 设立 一 个 公证 机 构 ,来 中 转 各 方 交换 的 信息 ,并 从 中 提取 相关 证 
据 , 以 便 对 可 能 发 生 的 纠纷 做 出 仲裁 。 

3. 网 络 安全 服务 

在 “网 络 安全 体系 结构 "文件 中 规定 的 网 络 安全 服务 有 五 项 : 鉴别 服务 .访问 控制 服务 、 
数据 完整 性 服务 .数据 保密 性 服务 和 非 和 否认 服务 。 

1) 鉴别 服务 

鉴别 服务 包括 同等 实体 鉴别 和 数据 源 鉴 别 两 种 服务 。 使 用 同等 实体 鉴别 服务 可 以 对 两 
个 同等 实体 (用 户 或 进程 ) 在 建立 连接 和 开始 传输 数据 时 进行 身份 的 合法 性 和 真实 性 验证 ， 
以 防止 非法 用 户 的 假冒 ,也 可 防止 非法 用 户 伪造 连接 初始 化 攻击 。 数 据 源 鉴别 服务 可 对 信 
息 源 点 进行 鉴别 ,确保 数据 是 由 合法 用 户 发 出 的 ,以 防 假冒 。 

2) 访问 控制 服务 

访问 控制 包括 身份 验证 和 权限 验证 。 访 问 控制 服务 防止 未 授权 用 户 非法 访问 网 络 资 
源 , 也 防止 合法 用 户 越权 访问 网 络 资源 。 

3) 数据 完整 性 服务 

数据 完整 性 服务 防止 非法 用 户 对 正常 数据 的 变更 ,如 修改 、 插 入 、 延 时 或 删除 ,以 及 在 数 
据 交 换 过 程 中 的 数据 丢失 。 数 据 完整 性 服务 可 分 为 以 下 五 种 情形 ,通过 这 些 服务 可 以 满足 
不 同 用 户 不同 场 合 对 数据 完整 性 的 要 求 。 

。 带 恢复 功能 的 面向 连接 的 数据 完整 性 。 


。 不 带 恢复 功能 的 面向 连接 的 数据 完整 性 。 

。 选择 字段 面向 连接 的 数据 完整 性 。 

。 选择 字段 无 连接 的 数据 完整 性 。 

。 无 连接 的 数据 完整 性 。 

4) 数据 保密 性 服务 

采用 数据 保密 性 服务 的 目的 是 保护 网 络 中 各 通信 实体 之 间 交 换 的 数据 ,即使 被 非法 攻 
击 者 截获 ,也 使 其 无 法 解读 信息 内 容 , 以 保证 信息 不 失 密 。 该 服务 也 提供 面向 连接 和 无 连接 
两 种 数据 保密 方式 。 保 密 性 服务 还 提供 给 用 户 可 选 字段 的 数据 保护 和 信息 流 安全 , 即 对 可 
能 从 观察 信息 流 就 能 推导 出 的 信息 提供 保护 。 信 息 流 安全 的 目的 是 确保 信息 从 源 点 到 目的 
点 的 整个 流通 过 程 的 安全 。 

5) 非 否认 服务 

非 否 认 服 务 可 防止 发 送 方 发 送 数 据 后 否认 自己 发 送 过 数据 ,也 可 防止 接收 方 接收 数据 
后 否认 自己 接收 过 数据 。 它 由 源 点 非 否 认 服 务 和 交付 非 否认 服 务 两 种 服务 组 成 。 这 实际 上 
是 一 种 数字 签名 服务 。 


1.3.2 网 络 安全 模型 


计算 机 网 络 与 信息 安全 是 一 个 系统 工程 ,必须 保证 网 络 系统 和 信息 资源 的 整体 安全 性 。 
为 此 ,人 们 建立 了 网 络 安全 模型 ,并 对 其 整体 安全 性 进行 研究 。P2DR 和 PDRR 就 是 常用 的 
两 种 安全 模型 。 

1. P2DR 网 络 安全 模型 

P2DR 是 美国 国际 互联 网 安全 系统 公司 (ISS) 提 出 的 动态 网 络 安全 体系 的 代表 模型 ,也 
是 动态 安全 模型 的 雏形 。 它 包含 四 个 主要 部 分 : Policy( 策 略 )、 
Protection( 防 护 ) Detection( 检 测 ) 和 Response( 响 应 ) 。 其 中 ， 
防护 ,检测 和 响应 组 成 了 一 个 完整 .动态 的 安全 循环 ( 见 图 1. 3. 2)， 
在 安全 策略 的 指导 下 保证 网 络 的 安全 。 

P2DR 模型 的 基本 思想 是 : 在 整体 安全 策略 的 控制 和 指导 
下 ,在 综合 运用 防护 工具 (如 防火 墙 . 身份 认证 ,加密 等 ) 的 同时 ， 
利用 检测 工具 (如 漏洞 评估 、 入 侵 检测 等 ) 了 解 和 评估 系统 的 安 
全 状态 ,通过 适当 的 反应 将 系统 调整 到 “最 安全 ”和 “风险 最 低 ” 
的 状态 。 图 1.3.2 P2DR 安全 模型 

1) Policy( 策 略 ) 

在 建立 网 络 安全 系统 时 ,一 个 重要 任务 就 是 制定 网 络 安全 策略 。 策 略 体系 的 建立 包括 
安全 策略 的 制定 .安全 策略 的 评估 和 安全 策略 的 执行 等 过 程 。 网 络 安全 策略 一 般 包 括 两 部 
分 : 总 体 的 安全 策略 和 具体 的 安全 规则 。 总 体 的 安全 策略 用 于 阐述 本 部 门 网 络 安全 的 总 体 
思想 和 指导 方针 ; 具体 的 安全 规则 是 根据 总 体 安全 策略 提出 的 具体 网 络 安全 实施 规则 , 它 
用 于 说 明 网 络 上 什么 活动 是 被 允许 的 ,什么 活动 是 被 禁止 的 。 

由 于 安全 策略 是 安全 管理 的 核心 ,要 实施 动态 网 络 安全 循环 过 程 必须 制定 网 络 系统 的 
安全 策略 ,所 有 的 防护 ,检测 、 响 应 都 是 依据 安全 策略 实施 的 ,网 络 系统 安全 策略 为 安全 管理 
提供 管理 方向 和 支持 手段 。 
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2) Protection( 防 护 ) 

防护 是 根据 系统 可 能 出 现 的 安全 问题 采取 一 些 预防 措施 ,通过 一 些 传 统 的 静态 安全 技 
术 及 方法 来 实现 的 。 通 常 采用 的 主动 防护 技术 有 : 数据 加 密 、 身 份 验证 .访问 控制 .授权 和 
虚拟 专用 网 技术 等 ; 被 动 防护 技术 有 : 防火 墙 技术 、 安 全 扫描 、 入 侵 检测 、 路 由 过 滤 、 数 据 备 
份 和 归档 ,物理 安全 ,安全 管理 等 。 

安全 防护 是 P2DR 模型 中 最 重要 的 部 分 ,通过 它 可 以 预防 大 多 数 的 入 侵 事 件 。 防 护 包 
含 系统 安全 、 网 络 安 全 和 信息 安全 三 种 防护 类 型 。 系 统 安 全 防护 指 操作 系统 的 安全 防护 , 即 
各 个 操作 系统 的 安全 配置 .使 用 和 打 补 丁 等 ,不 同 操作 系统 有 不 同 的 防护 措施 和 相应 的 安全 
工具 ; 网 络 安全 防护 指 网 络 管理 的 安全 及 网 络 传输 的 安全 ; 信息 安全 防护 指数 据 本 身 的 保 
密 性 完整 性 和 可 用 性 ,数据 加 密 就 是 信息 安全 防护 的 重要 技术 。 

3) Detection( 检 测 ) 

攻击 者 如 果 穿 过 防护 系统 ,检测 系统 就 要 将 其 检测 出 来 ,如 检测 入 侵 者 的 身份 .攻击 源 
点 和 系统 损失 等 。 防 护 系 统 可 以 阻止 大 部 分 的 入 侵 事 件 , 但 不 能 阻止 所 有 的 入 侵 事 件 , 特 别 
是 那些 利用 新 的 系统 缺陷 、 新 的 攻击 手段 的 入 侵 。 如 果 入 侵 事 件 发 生 , 就 要 启动 检测 系统 进 
行 检测 。 

检测 与 防护 有 根本 的 区 别 。 防 护 主要 是 修补 系统 和 网 络 缺 陷 , 增 加 系统 的 安全 性 能 ,从 
而 消除 攻击 和 入 侵 的 条 件 ,避免 攻 击 的 发 生 ; 而 检测 是 根据 入 侵 事件 的 特征 进行 的 。 因 为 
黑客 往往 是 利用 网 络 和 系统 缺陷 进行 攻击 的 ,所 以 入 侵 事 件 的 特征 一 般 与 系统 缺陷 的 特征 
有 关 。 在 P2DR 模型 中 ,防护 和 检测 有 互补 关系 。 如 果 防 护 系 统 过 硬 , 绝 大 部 分 人 侵 事 件 就 
会 被 阻止 ,那么 检测 系统 的 任务 就 减少 了 。 

检测 是 动态 响应 的 依据 ,也 是 强制 落实 安全 策略 的 有 力 工具 ,通过 不 断 地 检测 和 监控 网 
络 系统 来 发 现 新 的 威胁 和 弱点 ,通过 循环 反馈 来 及 时 做 出 有 效 的 响应 。 

4) Response( 啊 应 ) 

系统 一 旦 检测 出 有 入侵 行为 ,响应 系统 则 开始 响应 ,进行 事件 处 理 。P2DR 中 的 响应 就 
是 在 已 知人 侵 事件 发 生 后 进行 的 紧急 响应 (事件 处 理 ) 。 响 应 工作 可 由 一 个 特殊 部 门 负责 ， 
那 就 是 计算 机 安全 应 急 响应 小 组 。 从 CERT 建立 之 后 ,世界 各 国 和 地 区 以 及 各 机 构 也 纷纷 
建立 自己 的 计算 机 应 急 响应 小 组 。 我 国 第 一 个 计算 机 安全 应 急 响应 小 组 (CCERT) 建 立 于 
1999 年 ,主要 服务 于 CERNET。 不 同 机 构 的 网 络 系统 也 有 相应 的 计算 机 安全 应 急 响 应 
小 组 。 

响应 的 主要 工作 可 分 为 紧急 响应 和 恢复 处 理 两 种 。 紧 急 响应 就 是 当 安 全 事件 发 生 时 采 
取 的 应 对 措施 ; 恢复 处 理 是 指 事件 发 生 后 ,把 系统 恢复 到 原来 状态 或 比 原来 更 安全 的 状态 。 

紧急 响应 在 安全 系统 中 占有 重要 的 地 位 ,是 解决 潜在 安全 性 问题 最 有 效 的 办 法 。 从 某 
种 意义 上 讲 , 解 决 安全 问题 就 是 要 解决 紧急 响应 和 异常 处 理 问题 。 要 解决 好 紧急 响应 问题 ， 
就 要 制订 好 紧急 响应 方案 ,做 好 紧急 响应 方案 中 的 一 切 准备 工作 。 

恢复 处 理 包 括 系 统 恢复 和 信息 恢复 两 方面 。 系 统 恢复 是 指 修 补缺 陷 和 消除 后 门 ,不 让 
黑客 再 利用 这 些 缺 陷入 侵 系统 。 消 除 后 门 是 系统 恢复 的 一 项 重要 工作 。 一 般 而 言 ,黑客 第 
一 次 人 侵 是 利用 系统 缺陷 ,在 人 侵 成 功 后 就 在 系统 中 留 下 一 些 后 门 ( 如 安装 木马 ) ,因此 尽管 
缺陷 被 补丁 修复 ,黑客 还 可 再 通过 其 留 下 的 后 门人 侵 系统 。 信 息 恢 复 是 指 恢复 丢失 的 数据 。 
丢失 数据 可 能 是 由 于 黑客 人 侵 所 致 ,也 可 能 是 系统 故障 ,自然 灾害 等 原因 所 致 。 





2. PDRR 网 络 安全 模型 

PDRR 是 美国 国防 部 提出 的 安全 模型 , 它 包含 了 网 络 安全 的 四 个 环节 : Protection( 防 
护 ) .Detection( 检 测 )、Response( 响 应 ) 和 Recovery (恢复 ), 如 图 1. 3. 3 所 示 。PDRR 模式 
是 一 种 公认 的 比较 完善 也 比较 有 效 的 网 络 信息 安 全 解决 方案 ,可 用 于 政府 、 机 关 , 企 业 等 机 


构 的 网 络 系统 。 
(防护 ) 






Detection 


(检测 ) 





Recovery 
(恢复 ) 
Response 
(响应 ) 


图 1.3.3 PDRR 安全 模型 


PDRR 模型 与 前 述 的 P2DR 模型 有 很 多 相似 之 处 。 其 中 Protection( 防 护 ) 和 Detection 
(检测 ) 两 个 环节 的 基本 思想 是 相同 的 ,P2DR 模型 中 的 Response( 响 应 ) 环 节 包 含 了 紧急 响 
应 和 恢复 处 理 两 部 分 ,而 在 PDRR 模型 中 Response( 响 应 ) 和 Recovery( 恢 复 ) 是 分 开 的 ,内 
容 也 有 所 扩展 。 

响应 是 在 已 知 入 侵 事 件 发 生 后 ,对 其 进行 处 理 。 在 大 型 网 络 中 ,响应 除了 对 已 知 的 攻击 
采取 应 对 措施 外 ,还 提供 咨询 .培训 和 技术 支持 。 人 们 最 熟悉 的 响应 措施 就 是 采用 杀毒 软件 
对 因 计 算 机 病毒 造成 的 系统 损害 的 处 理 。 

恢复 是 PDRR 网 络 信 息 安全 解决 方案 中 的 最 后 环节 。 它 是 在 攻击 或 人 侵 事 件 发 生 后 ， 
把 系统 恢复 到 原来 的 状态 或 比 原来 更 安全 的 状态 ,把 丢失 的 数据 找 回来 。 恢 复 是 对 入 侵 最 
有 效 的 挽救 措施 。 

P2DR 和 PDRR 安全 模型 都 存在 一 定 的 缺陷 。 它 们 都 更 侧重 于 技术 ,而 对 诸如 管理 方 
面 的 因素 并 没有 强调 。 模 型 中 一 个 明显 的 不 足 就 是 忽略 了 内 在 的 变化 因素 ,如 人 员 的 流动 、 
人 员 素 质 的 差异 和 策略 贯彻 的 不 稳定 性 等 。 实 际 上 ,安全 问题 牵涉 面 广 , 除 了 涉及 防护 、 检 
测 ,响应 和 恢复 外 ,系统 本 身 安全 的 “免疫 力 ” 的 增强 、 系 统 和 整个 网 络 的 优化 ,以 及 人 员 素 质 
的 提升 等 ,都 是 网 络 安 全 中 应 该 考虑 到 的 问题 。 网 络 安全 体系 应 该 是 融合 了 技术 和 管理 在 
内 的 一 个 可 以 全 面 解决 安全 问题 的 体系 结构 , 且 应 具有 动态 性 .过 程 性 、 全 面 性 .层次 性 和 平 
衡 性 等 特点 。 


1.4 网 络 安全 策略 与 技术 


网 络 安全 是 一 项 复杂 的 系统 工程 ,针对 来 自 不 同方 面 的 安全 威胁 ,需要 采取 不 同 的 安全 
对 策 。 只 有 在 法 律 、 制 度 和 管理 上 采取 综合 策略 ,再 利用 先进 的 网 络 安全 技术 ,才能 使 网 络 
系统 达到 较 好 的 安全 效果 。 





网 络 安 会 概述 
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1.4.1 网 络 安全 策略 


网 络 安全 策略 是 指 在 特定 的 环境 中 ,为 保证 达到 一 定 级 别 的 安全 保护 所 必须 遵守 的 规 
则 。 要 实现 网 络 安全 ,一 般 从 以 下 几 方 面 制定 网 络 安全 策略 。 

1. 物理 安全 策略 

制定 物理 安全 策略 的 目的 是 保护 计算 机 系统 、 交 换 机 、 路 由 器 、 服 务 器 、 打 印 机 等 硬件 实 
体 和 通信 链 路 免 受 自然 灾害 人 为 破坏 和 搭 线 窃听 等 攻击 ; 验证 用 户 身 份 和 使 用 权限 ,防止 
用 户 越权 操作 ; 确保 网 络 设备 有 一 个 良好 的 电磁 兼容 环境 ; 建立 完备 的 机 房 安全 管理 制 
度 ,防止 非法 人 员 进 入 网 络 中 心 进行 偷 穿 和 破坏 活动 等 。 

2. 访问 控制 策略 

访问 控制 的 主要 任务 是 保证 网 络 资源 不 被 非法 使 用 和 访问 。 它 通过 减少 用 户 对 资源 的 
访问 来 降低 资源 被 攻击 的 概率 ,以 达到 保护 网 络 系统 安全 的 目的 。 访问 控制 策略 是 保证 网 
络 安全 最 重要 的 核心 策略 之 一 ,是 维护 网 络 系统 安全 保护 网 络 资源 的 重要 手段 。 

3. 信息 加 密 策 略 

信息 加 密 的 目的 是 要 保护 网 络 系统 中 存储 的 数据 和 在 通信 线路 上 传输 的 数据 的 安全 。 
网 络 加 密 可 以 在 数据 链 路 层 ,网 络 层 和 应 用 层 实 现 , 用 户 可 根据 不 同 的 需要 ,选择 适当 的 加 
密 方式 。 加 密 是 实现 网 络 安全 的 最 有 效 的 技术 之 一 。 

4. 安全 管理 策略 

在 网 络 安全 中 ,加强 网 络 的 安全 管理 ,制定 有 关 规 章 制度 ,对 于 确保 网 络 的 安全 ,可 靠 运 
行 ,将 起 到 十 分 有 效 的 作用 。 使 用 计算 机 网 络 的 各 企 事业 单位 ,应 建立 相应 的 网 络 安全 管理 
办 法 ,加 强 内 部 管理 ,提高 整体 的 网 络 安全 意识 。 网 络 安全 管理 策略 包括 : 确定 安全 管理 等 
级 和 安全 管理 范围 ; 制定 有 关 网 络 操作 的 使 用 规程 和 人 员 出 入 机 房 的 管理 制度 ; 制定 网 络 
系统 的 维护 制度 和 应 急 措施 等 。 

除了 以 上 所 述 的 安全 策略 之 外 ,制定 严格 的 法 律 、 法 规 也 是 保证 网 络 安全 的 有 效 方法 。 
网 络 上 计算 机 犯罪 已 经 逐渐 成 为 当今 社会 的 主要 犯罪 形式 之 一 ,因此 ,必须 建立 相关 的 法 
律 、 法 规 ,使 非法 分 子 慑 于 法 律 的 威严 ,不 敢 轻举妄动 。 


1.4.2 网 络 安全 技术 


先进 的 网 络 安全 技术 是 实现 网 络 安全 的 根本 保证 。 用 户 对 自身 面临 的 威胁 进行 风险 评 
估 ,决定 其 所 需要 的 安全 服务 种 类 ,选择 相应 的 安全 机 制 ,再 集成 先进 的 安全 技术 ,就 形成 一 
个 全 方位 的 安全 问题 解决 方案 。 

1. 安全 漏洞 扫描 技术 

安全 漏洞 扫描 技术 用 于 对 网 络 系统 进行 安全 检查 ,寻找 和 发 现 其 中 可 被 攻击 者 利用 的 
安全 漏洞 和 隐患 。 安 全 漏洞 扫描 技术 通常 采用 被 动 式 和 主动 式 两 种 策略 。 被 动 式 策略 是 基 
于 主机 的 检测 ,对 系统 中 不 适当 的 系统 设置 .脆弱 的 口令 及 其 他 违反 安全 规则 的 对 象 进行 检 
查 ; 主动 式 策略 是 基于 网 络 的 检测 ,通过 执行 一 些 脚 本 文件 对 系统 进行 非 破坏 性 攻击 ,并 根 
据 系 统 的 反应 来 判断 是 否 存在 安全 漏洞 。 检 测 结果 将 指出 系统 所 存在 的 安全 漏洞 ,并 给 出 


2. 网 络 嗅 探 技术 

网 络 嗅 探 技 术 是 利用 计算 机 的 网 络 端口 截获 网 络 中 数据 报 文 的 一 种 技术 。 它 工作 在 网 
络 的 底层 ,可 以 对 网 络 传输 数据 进行 记录 ,从 而 帮助 网 络 管理 员 分 析 网 络 流量 , 找 出 网 络 潜 
在 的 问题 。 例 如 ,网 络 的 某 一 段 运行 得 不 是 很 好 , 报 文 发 送 比 较 慢 ,而 用 户 又 不 知道 问题 出 
在 什么 地 方 ,此 时 就 可 以 用 嗅 探 器 来 做 出 精确 的 问题 判断 。 

3. 数据 加 密 技术 

数据 加 密 技术 就 是 对 信息 进行 重新 编码 ,从 而 达到 隐藏 信息 内 容 , 使 非法 用 户 无 法 获取 
信息 真实 内 容 的 一 种 技术 手段 。 现 代 加 密 算 法 不 仅 可 以 实现 信息 加 密 , 还 可 以 实现 数字 签 
名 和 身份 认证 等 功能 ,因此 ,数据 加 密 技 术 是 网 络 信息 安全 的 核心 技术 。 

4. 数字 签名 技术 

数字 签名 是 在 电子 文件 上 签名 的 技术 ,以 解决 伪造 ,抵赖 、 冒 充 和 算 改 等 安全 问题 。 数 
字 签 名 一 般 采 用 非 对 称 加 密 技 术 , 签 名 者 用 自己 的 私 钥 对 明文 进行 加 密 , 将 其 作为 签名 ; 接 
收 方 使 用 签名 者 的 公 钥 对 签名 进行 解密 , 若 结果 与 明文 一 致 , 则 证 明 对 方 身 份 是 真实 的 。 

5. 鉴别 技术 

鉴别 技术 用 在 安全 通信 中 ,目的 是 对 通信 双方 的 身份 以 及 传输 数据 的 完整 性 进行 验证 。 
按照 鉴别 内 容 的 不 同 ,鉴别 技术 可 以 分 为 用 户 身 份 鉴 别 和 消息 内 容 鉴别 。 利 用 数字 签名 ,可 
同时 实现 收发 双方 的 身份 鉴别 和 消息 完整 性 鉴别 。 

6. 访问 控制 技术 

访问 控制 通常 采用 设置 口令 和 入 网 限制 ,采取 CA 认证 和 数字 签名 等 技术 对 用 户 身 份 
进行 验证 和 确认 ,设置 不 同 软件 及 数据 资源 的 属性 和 访问 权限 ,进行 网 络 监控 、 网 络 审 计 和 
跟踪 ,使 用 防火 墙 系统 、 入 侵 检 测 和 防护 系统 等 方法 实现 。 

7. 安全 审计 技术 

安全 审计 技术 能 记录 用 户 使 用 计算 机 网 络 系统 进行 所 有 活动 的 过 程 , 是 提高 网 络 安全 
性 的 重要 工具 。 它 通过 记录 和 分 析 历 史 操作 ,能够 发 现 系统 漏洞 或 对 可 能 产生 破坏 性 的 行 
为 进行 审计 跟踪 。 

8. 防火 墙 技术 

防火 墙 是 在 两 个 网 络 之 间 执 行 访问 控制 策略 的 一 个 或 一 组 系统 , 它 包 括 硬件 和 软件 。 
防火 墙 对 经 过 的 每 一 个 数据 包 进行 检测 ,判断 数据 包 是 否 与 事先 设置 的 过 滤 规 则 匹配 ,并 按 
控制 机 制 做 出 相应 的 动作 ,从 而 保护 网 络 的 安全 。 防 火 墙 是 企业 网 与 Internet 连接 的 第 一 
道 屏障 。 

9. 人 侵 检测 技术 

网 络 入侵 检测 技术 是 一 种 动态 的 攻击 检测 技术 ,能 够 在 网 络 系统 的 运行 过 程 中 发 现 人 
侵 者 的 攻击 行为 和 踪迹 。 一 旦 发 现 网 络 被 攻击 ,立刻 根据 用 户 所 定义 的 动作 做 出 反应 ,如 报 
警 记录 ,切断 或 拦截 等 。 入 侵 检 测 系 统 被 认为 是 防火 墙 之 后 的 第 二 道 安全 防线 ,与 防火 墙 
相辅相成 ,构成 比较 完整 的 网 络 安全 基础 结构 。 

10. 病毒 防范 技术 

病毒 防范 是 指 通 过 建立 合理 的 计算 机 病毒 防范 体系 和 制度 ,及 时 发 现 计算 机 病毒 的 入 
侵 , 并 采取 有 效 的 手段 阻止 病毒 的 传播 和 破坏 ,恢复 受 影响 的 计算 机 系统 和 数据 。 一 个 安全 
的 网 络 系统 ,必须 具备 强大 的 病毒 防范 和 查 杀 能 力 。 
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1.5 网 络 安全 评价 准则 


1.5.1 可 信 计 算 机 系统 评价 准则 


计算 机 网 络 系统 的 安全 评价 ,通常 采用 美国 国防 部 计算 机 安全 中 心 制定 的 (可 信 计 算 机 
系统 评估 准则 》(TCSEC) 。TCSEC 定义 了 系统 的 安全 策略 .系统 的 可 审计 机 制 、 系 统 安全 
的 可 操作 性 、 系 统 安 全 的 生命 期 保证 以 及 建立 和 维护 的 系统 安全 等 五 要 素 的 相关 文件 。 

TCSEC 中 根据 计算 机 系统 所 采用 的 安全 策略 、 系 统 所 具备 的 安全 功能 将 系统 分 为 A、 
B(B1、B2、B3)、C(C1、.C2) 和 DD 等 四 类 七 个 安全 级 别 。 

(1) DD 类 (最 低 安全 保护 级 ): 该 类 未 加 任何 实际 的 安全 措施 ,系统 软 硬 件 都 容易 被 攻 
击 。 这 是 安全 级 别 最 低 的 一 类 ,不 再 分 级 。 该 类 说 明 整 个 系统 都 是 不 可 信任 的 。 对 于 硬件 
来 说 ,没有 任何 保护 可 用 ; 对 于 操作 系统 来 说 较 容易 受到 损害 ; 对 于 用 户 和 他 们 对 存储 在 
计算 机 上 信息 的 访问 权限 没有 身份 验证 。 常 见 的 无 密码 保护 的 个 人 计算 机 系统 .MS-DOS 
系统 、Windows 95/98 系统 等 都 属于 这 一 类 。 

(2) C 类 (被 动 的 自主 访问 策略 ) ,该 类 又 分 为 以 下 两 个 子 类 (级 ) 。 

。 C1 级 (无 条 件 的 安全 保护 ): 这 是 C 类 中 安全 性 较 低 的 一 级 , 它 提 供 的 安全 策略 是 

无 条 件 的 访问 控制 ,对 硬件 采取 简单 的 安全 措施 (如 加 锁 ) ,用 户 要 有 登录 认证 和 访 
问 权限 限制 ,但 不 能 控制 已 登录 用 户 的 访问 级 别 , 因 此 该 级 也 叫 选择 性 安全 保护 级 。 
早期 的 SCO UNIX、NetWare v3.0 以 下 系统 均 属于 该 级 。 

。 C2 级 (有 控制 的 访问 保护 级 ): 这 是 C 类 中 安全 性 较 高 的 一 级 ,除了 提供 Cl 级 中 的 
安全 策略 与 控制 外 ,还 增加 了 系统 审计 \ 访 问 保护 和 跟踪 记录 等 特性 。UNIX/Xenix 
系统 、NetWare v3. x 及 以 上 系统 和 Windows NT/2000 系统 等 均 属 于 该 级 。 

(3) B 类 (被 动 的 强制 访问 策略 类 ): 该 类 要 求 系统 在 其 生成 的 数据 结构 中 带 有 标记 ,并 

要 求 提 供 对 数据 流 的 监视 。 该 类 又 分 为 以 下 三 个 子 类 (级 )。 

。 Bl 级 (标记 安全 保护 级 ): 它 是 B 类 中 安全 性 最 低 的 一 级 。 除 满足 C 类 要 求 外 ,还 
要 求 提供 数据 标记 。Bl 级 的 系统 安全 措施 支持 多 级 (网 络 、 应 用 程序 和 工作 站 等 ) 
安全 。label( 标 记 ) 是 指 网 上 的 一 个 对 象 ,该 对 象 在 安全 保护 计划 中 是 可 识别 且 受 保 
护 的 。 该 级 是 支持 秘密 、 绝 密 信息 保护 的 最 低级 别 。 

。 B2 级 (结构 安全 保护 级 ) : 该 级 是 B 类 中 安全 性 居中 的 一 级 , 它 除 满足 Bl 要 求 外 ， 
还 要 求 计算 机 系统 中 所 有 对 象 都 加 标记 ,并 给 各 设备 分 配 安全 级 别 。 

。 B3 级 (安全 域 保护 级 ) : 该 级 是 B 类 中 安全 性 最 高 的 一 级 。 它 使 用 安装 硬件 的 办 法 
来 加 强 安全 域 。 如 安装 内 存 管理 硬件 来 保护 安全 域 免 遭 无 授权 访问 或 其 他 安全 域 
对 象 的 修改 。 

(4) A 类 (验证 安全 保护 级 ) : A 类 是 安全 级 别 最 高 的 一 级 , 它 包含 了 较 低 级 别 的 所 有 

特性 。 该 级 包括 一 个 严格 的 设计 、 控 制 和 验证 过 程 .设计 必须 从 数学 角度 经 过 验证 , 旦 必须 
对 秘密 通道 和 可 信任 的 分 布 进行 分 析 。 


1.5.2 计算 机 信息 安全 保护 等 级 划分 准则 
随 着 我 国信 息 技术 的 快速 发 展 ,计算 机 信息 网 络 已 经 应 用 到 国民 经 济 和 社会 生活 的 各 





个 领域 和 部 门 成 为 国家 事务 、 经 济 建设 、 国 防 建设 .尖端 科学 技术 等 重要 领域 管理 中 必 不 可 
少 的 工具 和 手段 。 当 前 ,我国 计算 机 信息 系统 的 建设 和 使 用 正在 逐步 由 封闭 向 开放 ,由 静态 
向 动态 ,由 单一 系统 向 系统 互联 等 方面 转变 ,从 而 对 信息 系统 的 安全 保护 工作 提出 了 前 所 未 
有 的 强烈 要 求 。 为 此 ,国家 公安 部 组 织 制定 了 强制 性 国家 标准 (计算 机 信息 安全 保护 等 级 划 
分 准则 》, 该 准则 于 1999 年 9 月 13 日 经 国家 质量 技术 监督 局 发 布 ,并 于 2001 年 1 月 1 日 起 

该 准则 是 建立 安全 等 级 保护 制度 .实施 安全 等 级 管理 的 重要 基础 性 标准 。 它 将 计算 机 
信息 系统 安全 保护 等 级 划分 为 五 个 级 别 ,进行 规范 .科学 和 公正 的 评定 和 监督 管理 。 该 准则 
第 一 为 计算 机 信息 系统 安全 等 级 保护 管理 法 规 的 制定 和 执法 部 门 的 监督 检查 提供 依据 ; 第 
二 为 计算 机 信息 系统 安全 产品 的 研制 提供 技术 支持 ; 第 三 为 安全 系统 的 建设 和 管理 提供 技 
术 指 导 。 因 此 ,该 标准 的 发 布 和 实施 , 必 将 极 大 地 促进 我 国 计 算 机 信息 系统 安全 工作 的 发 
展 。 该 准则 划分 的 五 个 安全 级 别 及 含义 如 下 。 

第 一 级 为 用 户 自主 保护 级 。 该 级 使 用 户 具 备 自主 安全 保护 能 力 ,保护 用 户 和 用 户 组 信 
息 , 避 免 被 其 他 用 户 非法 读 写 和 破坏 。 

第 二 级 为 系统 审计 保护 级 。 它 具备 第 一 级 的 保护 能 力 , 并 创建 和 维护 访问 审计 跟踪 记 
录 , 以 记录 与 系统 安全 相关 事件 发 生 的 日 期 时间、 用 户 及 事件 类 型 等 信息 ,使 所 有 用 户 对 自 
己 的 行为 负责 。 

第 三 级 为 安全 标记 保护 级 。 它 具备 第 二 级 的 保护 能 力 , 并 为 访问 者 和 访问 对 象 指定 安 
全 标记 ,以 访问 对 象 标记 的 安全 级 别 限 制 访问 者 的 访问 权限 ,实现 对 访问 对 象 的 强制 保护 。 

第 四 级 为 结构 化 保护 级 。 它 具备 第 三 级 的 保护 功能 ,并 将 安全 保护 机 制 划分 为 关键 部 
分 和 非 关 键 部 分 两 层 结 构 , 其 中 的 关键 部 分 直接 控制 访问 者 对 访问 对 象 的 访问 。 该 级 具有 
很 强 的 抗 渗透 能 力 。 

第 五 级 为 安全 域 保护 级 。 它 具备 第 四 级 的 保护 功能 ,并 增加 了 访问 验证 功能 ,负责 仲裁 
访问 者 对 访问 对 象 的 所 有 访问 活动 。 该 级 具有 极 强 的 抗 渗透 能 力 。 


1.6 网 络 系统 的 安全 管理 


对 于 网 络 系统 的 安全 管理 和 维护 ,不仅 需 要 有 配套 的 安全 防御 措施 ,还 需要 规范 的 管理 
制度 和 流程 ,更 需要 高 素质 的 安全 管理 和 操作 人 员 。 


1.6.1 网 络 系 统 的 日 常 管理 


一 般 网 络 管理 人 员 所 面 对 的 网 络 管理 环境 大 都 已 经 采取 了 某 些 安 全 措施 ,构成 了 一 定 
的 防御 体系 。 从 管理 的 角度 讲 ,比较 重视 网 络 安全 的 企业 或 事业 单位 ,都 设 有 专门 的 安全 管 
理 机 构 , 并 制定 了 相应 的 安全 制度 和 规范 。 从 网 络 管理 人 员 的 素质 讲 , 一 般 都 具有 一 定 的 安 
全 技能 ,如 分 析 日 志 、 了 解 攻 击 特 点 、 熟 悉 各 类 操作 系统 ,以 及 本 网 络 的 拓扑 、IP 分 配 情况 、 
设备 配置 情况 、 系 统 配 置 情 况 、 应 用 系统 情况 等 。 但 这 些 还 远 远 没有 达到 网 络 安 全 日 常 维护 
的 要 求 。 

网 络 系统 的 安全 维护 通常 包含 以 下 几 个 方面 。 
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1. 口令 管理 

口令 (密码 ) 问 题 容易 被 人 忽视 。 许 多 系统 建设 得 非常 完美 ,但 在 口令 管理 上 却 不 够 严 
格 ,甚至 漏洞 百出 。 试 想 ,即便 是 世界 上 最 坚固 的 保险 柜 ,如 果 其 密码 设置 为 0000, 那 么 这 
个 “坚固 ?的 身 壳 就 会 成 为 一 种 摆设 了 。 

一 般 网 络 工作 人 员 常 犯 的 口令 错误 有 : 多 个 账号 使 用 同一 个 密码 ; 密码 全 部 采用 数字 
组 合 或 字母 组 合 ; 密码 从 不 更 新 ; 密码 被 记录 于 易 见 的 媒体 上 ; 远程 登录 系统 时 ,账号 和 密 
码 在 网 络 中 以 明文 形式 传输 等 

作为 网 络 安全 管理 人 员 ,在 口令 管理 上 应 该 养 成 好 习惯 ,例如 : 选取 数字 、 字 母 .符号 相 
间 的 口令 ; 口令 不 随便 书写 在 易 见 的 媒体 上 ; 适时 更 新 口令 ; 及 时 删除 已 撤销 的 账号 和 口 
令 ; 远程 登录 时 使 用 加 密 口令 ; 在 更 严格 的 情况 下 可 采用 口令 鉴别 和 PKI 验证 过 程 。 

2. 病毒 防护 

建议 为 网 络 系统 中 的 所 有 计算 机 都 安装 统一 的 网 络 防 病毒 软件 ,这 样 容易 解决 病毒 库 
的 及 时 升级 问题 。 通 过 对 防 病毒 服务 器 进行 及 时 升级 ,可 以 做 到 对 众多 的 客户 端 病毒 库 及 
时 升级 ,这 样 可 对 最 新 的 病毒 进行 及 时 防 杀 ,减少 病毒 危害 。 

对 于 作为 服务 器 的 主机 ,无 论 是 使 用 Windows 操作 系统 还 是 非 Windows 操作 系统 , 防 
病毒 软件 对 于 主机 系统 的 性 能 都 会 有 不 同 程度 的 影响 。 但 是 ,网 络 防 病毒 软件 还 是 要 尽 可 
能 地 覆盖 所 有 的 主机 ,并 及 时 进行 病毒 库 升级 。 在 日 常 维护 中 ,最 好 是 每 隔 两 三 天 就 检查 一 
次 是 否 需要 升级 病毒 库 ,在 必要 时 及 时 进行 升级 。 

关于 病毒 防护 , 防 病毒 软件 并 不 能 防 杀 掉 所 有 类 型 的 病毒 ,例如 蠕虫 病毒 。 造 成 这 种 情 
况 的 原因 有 很 多 ,如 用 户 没有 及 时 升级 病毒 库 ,或 者 该 病毒 的 特征 定义 不 准确 等 。 里 虫 病毒 
带 有 黑客 攻击 性 质 ,对 于 黑客 攻击 特征 的 研究 ,可 以 借助 于 入 侵 检 测 系统 等 监控 设备 对 计算 
机 进行 及 时 监控 ,找到 有 问题 的 机 器 ,及 时 修补 漏洞 。 

3. 漏洞 扫描 

网 络 管理 员 应 密切 跟踪 最 新 的 漏洞 和 攻击 技术 ,及 时 对 网 络 设备 进行 加 固 。 如 果 及 时 
对 IIS 打 补丁 ,就 不 会 发 生 红色 代码 蠕虫 问题 ; 如 果 及 时 对 SQL Server 打 补丁 ,就 不 会 发 生 
SQL 蠕虫 问题 ; 如 果 及 时 加 强 对 口令 的 控制 ,关闭 不 必要 的 服务 ,就 不 会 发 生 被 他 人 远程 控 
制 的 问题 ; 如 果 在 出 口 进行 源 路 由 控制 ,就 不 会 有 DDoS( 分 布 式 拒绝 服务 ?攻击 从 本 网 发 
动 ,等 等 。 

通过 漏洞 扫描 系统 对 网 络 设备 进行 扫描 ,可 以 从 设备 之 外 的 网 络 角度 来 审查 网 络 上 还 
有 哪些 漏洞 没有 修补 以 及 正在 提供 什么 样 的 服务 ,以 此 找到 需要 关闭 的 服务 ,甚至 还 可 以 发 
现 部 分 密码 设置 过 于 简单 的 账号 。 

建立 一 个 列表 , 列 出 网 络 中 所 有 主机 应 该 提供 的 服务 和 端口 ,使 用 扫描 系统 检查 每 台 主 
机 ,查看 是 否 有 不 必要 的 服务 没有 关闭 ,以 及 是 否 有 漏洞 的 地 方 存在 ,并 及 时 做 出 调整 及 修 
补 。 如 果 有 机 器 被 人 利用 ,应 启动 应 急 响 应 流程 ,分 析 原 因 , 找 到 攻击 者 使 用 的 方法 。 必 要 
时 ,需要 对 全 网 安全 策略 进行 调整 。 在 日 常 维护 中 ,每 十 天 左右 可 对 重要 的 主机 进行 一 次 扫 
描 。 由 于 扫描 要 占用 带宽 ,可 根据 带宽 情况 和 设备 数量 .合理 调整 扫描 周期 和 时 间 。 

4. 边界 控制 

边界 可 理解 为 所 管辖 的 内 部 网 与 外 部 网 的 连接 ,如 连接 Internet 的 边界 .连接 第 三 方 网 
络 的 边界 ; 也 可 以 理解 为 在 一 个 广域网 中 ,各 局 域 网 之 间 的 连接 边界 。 


网 络 之 间 的 连接 设备 一 般 都 是 路 由 器 .为 了 加 强 安全 控制 ,通常 在 路 由 器 上 配备 防火 墙 
软件 ,使 之 构成 网 络 层 防 火 墙 。 当 然 , 网 络 之 间 可 能 还 有 其 他 类 型 的 隔离 设备 ,如 网 闸 等 。 
在 加 强 对 路 由 器 .防火墙 本 身 的 安全 控制 之 外 ,也 要 利用 这 些 设备 对 边界 访问 进行 控制 , 特 
别 是 连接 Internet 的 边界 。 事 实 上 ,网 络 管理 员 没 有 足够 的 能 力 去 管理 Internet 上 的 行为 ， 
但 有 足够 的 权限 控制 所 辖 的 内 部 网 络 。 边 界 访问 控制 得 比较 好 ,就 能 有 效 地 减少 来 自 
Internet 的 攻击 风险 。 例 如 ,在 路 由 器 上 可 以 采用 访问 列表 来 控制 内 外 的 访问 ; 采用 源 路 由 
器 控制 方法 ,过 滤 非 本 地 的 IP 报 文 发 送 到 Internet 上 ,可 避免 黑客 的 IP 欺骗 ,也 可 控制 发 
自 本 网 络 内 部 的 伪造 源 地 址 的 蠕虫 病毒 和 DDoS 攻击 。 

加 强 局 域 网 之 间 的 边界 控制 ,可 以 减少 攻击 威胁 的 范围 。 例 如 ,SQL 蠕虫 病毒 在 某 局 
域 网 内 爆发 ,由 于 边界 控制 设备 关闭 了 SQL Server 连接 的 端口 ,因此 ,至少 可 以 避免 该 病毒 
从 本 局 域 网 传染 到 其 他 局 域 网 。 

5. 实时 监控 

以 上 措施 都 能 提高 网 络 的 组 成 元 素 的 安全 强度 ,但 这 还 不 够 。 因 为 网 络 访问 是 动态 的 ， 
网 络 管理 员 要 时 刻 监视 网 络 的 访问 情况 ,特别 要 密切 注意 潜在 的 攻击 行为 ,并 采取 必要 手段 
进行 及 时 控制 。 对 已 攻击 成 功 的 事件 ,应 启动 应 急 响 应 流程 ,分 析 黑 客 是 利用 了 网 络 中 的 哪 
些 薄 弱 环 节 、 使 用 什么 攻击 方式 进行 的 ,考虑 应 如 何 调整 和 加 强 安全 措施 等 。 

利用 入 侵 检 测 系 统 (IDS) 建 立 全 网 的 监控 系统 , 既 可 以 实施 对 网 络 的 实时 全 面 监 控 ,又 
可 以 对 某 个 或 某 些 安全 事件 进行 特别 监控 。 管 理 员 要 充分 利用 事件 的 自 定义 功能 ,将 自己 
认为 有 必要 监控 的 网 络 访问 进行 自 定义 。 在 日 常 网 络 的 安全 维护 中 ,应 根据 实际 情况 ,实行 
每 周 7 天 的 全 天 候 (7 天 X24 小 时 /天 ) 监 控 或 5 天 X8 小 时 /天 监控 。 

6. 日 志 审 核 

这 里 所 说 的 日 志 是 指 操作 系统 日 志 、 应 用 程序 日 志和 防火 墙 日 志 。 如 果 网 络 范围 比较 
大 、 设 备 比 较 多 ,那么 日 志 量 就 会 比较 大 。 如 果 没 有 专门 的 日 志 分 析 工 具 , 网 络 管理 员 应 只 
对 特别 重要 的 服务 器 日 志 进 行 常规 的 日 志 分 析 。 通 过 这 些 分 析 , 可 以 发 现 服务 器 上 是 否 有 
异常 活动 。 日 志 分 析 审 核 是 对 网 络 安全 监控 系统 的 一 个 补充 ,在 日 常 维护 中 ,建议 每 月 进行 
一 次 。 

7. 应 急 响应 

采取 再 多 的 安全 措施 ,也 不 会 造就 绝对 安全 的 网 络 系统 。 在 网 络 安全 方面 ,“ 攻 ”和 “ 防 ” 
是 一 对 既 互相 对 立 又 互相 促进 的 矛盾 体 ,它们 总 是 在 不 断 的 实践 较量 中 相互 制约 和 发 展 的 ， 
往往 是 先 有 新 的 “攻击 ”手段 和 方法 出 现 , 随 后 再 有 相应 的 “防御 ?措施 出 台 。 因 此 ,在 攻击 者 
侵入 网 络 后 ,需要 有 及 时 的 应 急 响应 措施 ,对 安全 事件 进行 分 析 、 追 踪 , 并 实施 修补 。 

希望 每 个 较 大 的 网 络 系统 安全 管理 员 都 建立 自己 的 紧急 响应 流程 ,使 其 在 出 现 紧急 安 
全 事件 时 知道 应 如 何 处理 。 如 果 暂 不 具备 对 安全 事件 分 析 的 实力 ,可 由 有 能 力 提 供 紧急 响 
应 安全 服务 的 服务 提供 商 进行 支持 。 此 外 ,应 及 时 对 每 次 应 急 响应 进行 总 结 , 并 适时 修正 应 
急 响应 流程 。 

8. 软件 和 数据 文件 的 保护 

软件 和 数据 文件 包括 系统 软件 .应 用 软件 及 应 用 系统 的 数据 库 文件 等 。 操 作 系 统 软件 
的 安全 性 体现 在 对 程序 保护 的 支持 和 对 内 存 保护 的 支持 上 。 在 现代 信息 系统 中 ,硬件 对 操 
作 系 统 的 支持 比较 完善 ,如 使 用 硬件 技术 中 的 特权 指令 、 重 定位 和 界限 寄存 器 ,分 页 分 段 等 





网 络 安 会 极 达 


计算 机 网 给 安 会 (第 3 版 ) 





功能 实现 对 资源 的 合理 分 配 ,将 用 户 的 程序 和 数据 管理 起 来 ,避免 相互 间 的 干扰 和 分 时 
冲突 。 

在 虚拟 存储 技术 中 采用 段 页 表 进 行 地 址 映射 ,在 这 些 表 中 规定 了 对 内 存 信 息 的 访问 权 
限 。 操 作 系 统 正 是 由 内 存 管理 程序 对 内 存 资源 进行 控制 和 保护 的 。 因 为 操作 系统 管理 了 系 
统 的 全 部 资源 ,因此 它 必须 避免 一 般 用 户 的 进入 。 因 该 特定 入 口 是 由 管理 程序 控制 的 ,所 以 
当 一 般 用 户 试图 通过 特定 入 口 ( 陷 阱 ) 向 操作 系统 请 求 服务 时 ,就 无 法 进入 该 管理 程序 。 对 
于 多 进程 的 系统 ,可 以 采取 优先 级 控制 的 方法 防止 进程 之 间 的 干扰 和 对 系统 区 的 非法 访问 。 

目前 ,各 种 应 用 软件 .软件 工具 和 数据 文件 的 数量 正 以 惊人 的 速度 增长 ,以 满足 日 益 增 
长 的 计算 机 应 用 的 需求 。 但 非法 复制 . 非 授 权 侵 入 和 修改 是 对 软件 (数据 文件 ) 的 主要 危害 。 
从 销售 商 的 角度 看 ,需要 一 些 保护 措施 防止 销售 的 软件 被 非法 复制 。 非 法 复制 除 给 软件 销 
售 商 带 来 经 济 损失 外 ,更 重要 的 是 ,一 旦 对 国家 或 地 区 的 经 济 、 工 商 , 金 融 、 外 贸 以 及 军政 部 
门 的 机 密 软 件 和 系统 软件 (文件 ) 进 行 非法 复制 ,将 造成 不 可 估量 的 损失 ,甚至 严重 威胁 到 国 
家 或 地 区 安全 。 

通常 采用 市 场 策略 .技术 策略 和 法 律 策略 三 种 保护 策略 应 对 软件 的 非法 复制 。 

1) 市 场 策略 

比较 典型 的 市 场 策略 是 对 软件 商品 标 以 低廉 的 价格 ,使 每 个 潜在 用 户 都 愿意 购买 它 , 因 
为 购买 后 还 可 以 得 到 其 他 所 需 的 文件 和 后 续 的 技术 支持 。 

2) 技术 策略 

技术 策略 涉及 较 多 具体 的 软件 保护 技术 ,如 抗 软件 分 析 法 、 唯 一 签名 法 、 软 件 加 密 法 和 
数据 加 密 法 等 。 抗 软件 分 析 法 可 使 攻击 者 不 能 动态 跟踪 与 分 析 软 件 程序 。 唯 一 签名 法 可 保 
证 软件 不 被 非法 复制 。 但 随 着 科学 技术 的 不 断 发 展 , 各 种 各 样 的 复制 软件 工具 不 断 出 现 , 攻 
击 者 可 以 通过 复制 软件 的 源 代码 进行 静态 分 析 。 为 防止 这 种 静态 分 析 , 可 对 整个 程序 或 程 
序 的 关键 部 分 进行 加 密 。 软 件 加 密 是 将 在 介质 上 存储 的 程序 代码 变换 成 一 种 密 文 形式 ,使 
得 攻击 者 即使 是 复制 了 该 软件 也 无 法 读 懂 它 , 因 而 也 就 无 法 分 析 和 使 用 它 。 

3) 法 律 策略 

利用 软件 保护 法 等 相应 的 法 律 法 规 的 约束 力 和 威慑 力 使 人 们 对 侵权 行为 有 所 顾 鼠 , 引 
导 人 们 去 购买 正版 软件 。 虽 然 法 律 本 身 的 作用 是 有 限 的 ,但 把 几 种 策略 结合 起 来 使 用 还 是 
有 效 的 。 


1.6.2 网 络 日 志 管理 


网 络 日 志 不 仅 能 用 来 进行 安全 检查 ,而 且 还 能 够 帮助 用 户 更 好 地 从 事 网 络 管理 工作 。 
网 络 管理 员 的 一 个 十 分 重要 的 工作 就 是 做 好 网 络 日 志 。 有 效 地 利用 网 络 日 志 进 行 网 络 安全 
管理 是 一 项 十 分 重要 的 工作 。 

下 面 就 如 何 利用 网 络 日 志 进行 网 络 管理 工作 做 一 些 简 要 介绍 ,并 通过 一 些 日 常 的 范例 
来 进行 说 明 。 最 后 介绍 一 种 网 络 日 志 的 分 析 工 具 及 其 应 用 。 

1. 网 络 日 志 是 日 常 管理 的 FAQ 

在 日 常 的 网 络 管理 工作 中 ,要 形成 一 种 习惯 ,即将 当天 遇 到 的 问题 与 解决 方法 填写 在 网 
络 日 志 中 ,然后 定期 对 这 些 内 容 进 行 整理 并 归 类 到 一 个 名 为 网 络 管理 的 FAQ( 日 常 问答 ) 
中 。FAQ 以 一 问 一 答 的 方式 收集 内 容 , 以 Web 形式 共享 。 这 样 , 当 网 络 管理 员 此 后 再 遇 到 


问题 时 ,可 以 先 在 这 里 寻找 答案 ,这 样 可 大 大 提高 解决 问题 .排除 故障 的 效率 。 

2. 网 络 日 志 是 排除 故障 的 黑匣子 

网 络 日 志 对 于 故障 排除 也 能 起 到 飞机 黑匣子 的 功能 。 下 面 通过 几 个 案例 来 说 明 网 络 日 
志 对 排除 网 络 故障 的 帮助 。 

例 1: 某 企 业内 部 有 一 台 应 用 服务 器 ,操作 系统 是 Windows NT 4.0, 在 上 面 运行 着 一 
个 通信 网 关 程序 。 某 天 网 络 管理 人 员 一 上 班 就 发 现 这 个 通信 网 关 程序 罢工 了 。 经 过 检查 发 
现 该 程序 已 异常 退出 ,而 且 再 也 无 法 启动 了 。 

这 时 ,网 络 管理 人 员 迅 速 查找 网 络 日 志 , 发 现在 前 一 天 下 班 时 , 另 一 名 网 络 管理 人 员 为 
了 提高 安全 性 ,在 该 服务 器 上 打 了 SP6 补丁 ,然后 关机 下 班 。 网 络 管理 人 员 马 上 与 该 程序 
的 开发 商 取 得 联系 ,确认 了 该 程序 与 SP6 不 兼容 ,并 得 到 了 修改 该 故障 的 新 版 程序 ,顺利 地 
解决 了 问题 。 在 本 例 中 ,通过 查看 网 络 日 志 , 寻 找到 了 变动 因素 ,从 而 找到 引起 该 故障 的 原因 。 

例 2: 有 一 段 时 间 , 某 企业 内 部 网 络 出 现 了 一 个 奇怪 的 现象 ,每 天 中 午 大 家 都 无 法 正常 
收发 邮件 ,接收 邮件 经 常 超时 ,数据 传输 很 慢 。 开 始 大 家 认为 这 可 能 是 由 于 中 午 上 网 人 数 过 
多 而 引起 的 。 

为 了 能 够 找 出 原因 ,网 络 管理 员 连 续 几 个 中 午 进行 网 络 流量 监测 ,并 将 结果 记录 下 来 。 
然后 翻 开 网 络 日 志 , 查 看 在 发 生 该 情况 之 前 的 网 络 流量 数据 ,结果 发 现 这 几 天 中 午 的 网 络 流 
量 居然 是 平时 最 大 值 的 十 多 倍 。 他 们 觉得 这 样 的 情况 肯定 不 是 简单 的 由 上 网 人 数 增加 引起 
的 。 他 们 继续 进行 网 络 监控 ,试图 寻找 出 原因 。 结 果 用 Sniffer 工具 监测 到 了 一 台 个 人 计算 
机 在 源源 不 断 地 向 外 广播 大 量 的 数据 包 。 找 到 这 人 台 个 人 计算 机 的 用 户 后 才 知 道 , 该 用 户 是 
在 用 "超级 解 霸 ? 看 VCD, 当 打开 他 的 “超级 解 霸 ” 时 发 现 他 误 设 置 了 打开 DVB 数字 视频 广 
播 ,因此 在 他 看 VCD 的 同时 也 向 整个 局 域 网 用 户 进行 视频 广播 ,从 而 导致 了 网 络 阻塞 。 试 
想 如 果 没 有 网 络 日 志 数据 ,网 络 管理 员 可 能 会 无 法 得 知 网 络 数据 的 增长 到 底 有 多 大 ,以 及 是 
否 与 上 网 人 数 的 增加 有 关系 ,因此 就 有 可 能 会 盲目 地 采用 增加 带宽 的 方式 来 解决 该 问题 了 。 

3. 网 络 日 志 是 网 络 升级 的 指示 仪 

网 络 日 志 记 录 了 网 络 日 常 运行 的 状态 信息 ,这 些 信 息 显示 了 网 络 的 动态 情况 ,有 了 这 些 
情况 ,就 可 以 正确 地 做 出 网 络 升 级 的 决策 ,使 得 网 络 升 级 能 够 落 到 实处 。 同 时 ,网 络 日 志 还 
为 网 络 升 级 提供 了 详细 的 数据 依据 。 

例如 ,每 年 年 底 企 业 领 导 都 会 要 求 网 络 管理 部 门 提交 一 份 关于 新 一 年 中 网 络 升 级 的 需 
求 报告 ,这 时 网 络 管理 员 就 可 打开 网 络 日 志 , 对 网 络 日 志 中 的 网 络 流量 数据 进行 分 类 统计 ， 
获取 网 络 流量 的 增长 率 、 网 络 流量 的 高 峰 时 期 等 信息 ; 可 以 对 网 络 中 的 病毒 记录 进行 统计 ， 
得 知 现行 的 病毒 防治 策略 是 否 有 效 ; 还 可 以 从 网 络 日 志 中 发 现 每 一 个 网 络 服务 器 的 负载 变 
化 情况 ,再 根据 这 一 情况 制定 网 络 服务 器 软 硬 件 的 更 新 计划 。 基 于 网 络 日 志 提供 的 上 述 各 
种 数据 信息 ,网 络 管理 部 门 即 可 制订 出 一 个 较 完美 的 网 络 升级 计划 并 向 领导 汇报 了 。 

总 之 ,如 果 行 之 有 效 地 利用 网 络 日 志 中 的 数据 记录 .将 能 够 帮助 网 络 管理 员 更 好 地 完成 
网 络 管理 工作 。 

4. 网 络 设备 的 日 志 管理 

在 一 个 完整 的 信息 系统 里 ,日 志 系统 是 一 个 非常 重要 的 组 成 部 分 。 查 看 交换 机 、 路 由 器 
和 其 他 网 络 设备 的 日 志 , 可 以 帮助 网 络 管理 员 了 迅速 了 解 和 诊断 问题 。 一 些 网 络 管理 员 认为 
日 志 管理 是 信息 安全 管理 的 内 容 , 与 系统 管理 关系 不 大 ,这 绝对 是 错误 的 。 很 多 硬件 设备 的 
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操作 系统 也 具有 独立 的 日 志 功 能 。 下 面 以 常见 的 Cisco 设备 为 例 介 绍 在 网 络 设备 日 志 管 理 
中 最 基本 的 日 志 记 录 方 法 与 功能 。 

在 Cisco 设备 管理 中 ,日 志 消 息 通常 是 指 Cisco IOS 中 的 系统 错误 消息 。 其 中 每 条 错误 
信息 都 被 定 为 一 个 级 别 ,并 伴随 一 些 指示 性 问题 或 事件 的 描述 信息 。Cisco IOS 发 送 日 志 消 
息 ( 包 括 debug 命令 的 输出 ) 到 日 志 记录 。 默 认 情 况 下 ,只 发 送 到 控制 台 接口 ,但 也 可 以 将 日 
志 记 录 到 路 由 器 内 部 缓存 。 在 实际 管理 工作 中 ,一 般 将 日 志 发 送 到 终端 线路 ,如 辅助 和 
VTY 线路 .系统 日 志 服务 器 和 SNMP 管理 数据 库 等 。 

例如 ,一 个 消息 经 常 出 现在 Catalyst 4000 交换 机 上 ,假设 日 志 消息 已 经 启用 了 时 间 截 
和 序列 号 。 对 于 日 志 消 息 , 首 先 看 到 的 是 序列 号 , 紧 接 着 是 时 间 截 ,然后 才 是 真正 的 消息 ， 
如 %SYS-4-P2_WARN : 1/Invalid traffic from multicast source address 81:00:01:00:00:00 on 
port 2/1。 

通过 查阅 Cisco 在 线 文档 ,或 者 利用 “错误 信息 解码 器 工具 ”分 析 就 可 判断 出 , 当 交 换 机 
收 到 信息 包 带 有 组 播 MAC 地 址 作为 源 MAC 时 ,会 生成 “无 效 的 数据 流 从 组 播 源 地 址 ” 系 
统 日 志 消 息 。 在 MAC 地 址 作为 源 MAC 地 址 时 , 帧 不 符合 标准 情况 ,但 交换 机 仍然 转发 从 
组 播 MAC 地 址 发 出 的 数据 流 。 解 决 该 问题 的 方法 是 设法 识别 产生 帧 带 有 组 播 源 MAC 地 
址 的 终端 站 。 一 般 来 说 ,共享 组 播 MAC 地 址 的 这 个 帧 由 数据 流 生 成 器 或 第 三 方 设备 传输 。 

s. 网 络 日 志 便 于 系统 运行 维护 管理 

以 保障 系统 稳定 运行 为 目的 ,通过 采集 各 种 网 络 设备 .操作 系统 及 系统 软件 平台 的 运行 
日 志 及 各 种 消息 .主动 探测 运行 状态 等 手段 ,全 面 地 监测 .记录 各 种 平台 的 动态 信息 及 配置 
变更 ,实时 地 提供 报警 信息 并 输出 各 种 综合 日 志 分 析 报 告 ,为 系统 管理 人 员 提 供 了 一 个 监测 
面 广 、 响 应 及 时 、 具 有 强大 分 析 能 力 的 信息 系统 基础 设施 一 一 日 志 监 测 管理 平台 。 这 样 可 大 
大 降低 系统 运行 维护 人 员 的 工作 量 和 定位 故障 的 时 间 ,快速 完成 系统 运行 维护 任务 。 


习题 和 思考 题 


-、 简 答题 

. 何 为 计算 机 网 络 安全 ? 网 络 安全 有 哪 两 方面 的 含义 ? 

.网络 安 全 的 目标 有 哪 几 个 ”网 络 安全 策略 有 哪些 ? 

. 何 为 风险 评估 ? 网 络 风险 评估 的 项 目 和 可 解决 的 问题 有 哪些 ? 

. 什么 是 网 络 安全 漏洞 ? 网 络 漏洞 有 哪些 类 型 ? 

. 网 络 安全 的 威胁 主要 有 哪 几 种 ? 

常用 的 网 络 安全 使 用 技术 有 哪 几 个 ? 

. OSI 网 络 安全 体系 涉及 哪 几 个 方面 ? 网 络 安全 服务 和 安全 机 制 各 有 哪 几 项 ? 
. P2DR 模型 中 的 PP.D、R 的 含义 是 什么 ? 

. 简 述 网 络 系统 的 日 常 管理 和 安全 维护 措施 。 

10. 请 列 出 你 熟悉 的 几 种 常用 的 网 络 安 全 防护 措施 。 

二 、 填空 题 

1. 网 络 系统 的 ( ) 性 是 指 保证 网 络 系统 不 因 各 种 因素 的 影响 而 中 断 正常 工作 。 
2 ) 是 网 络 信息 未 经 授权 不 能 进行 改变 的 特性 。 


OP 和 NP or 


3. 网 络 系统 漏洞 主要 有 ( ) 网 络 协议 漏洞 ) 和 ( ) 等 。 

4. 网 络 的 安全 威胁 主要 来 自 ( ””) 的 不 安全 因素 ,这些 不 安全 因素 包括 ( ) 和 ( 
两 方面 。 

5. 网 络 安全 的 主要 威胁 有 ( js€ jk ) 和 计算 机 病毒 等 。 

6. 网 络 风险 评估 包括 对 来 自 ( ) 的 网 络 风险 和 ( ) 网 络 的 风险 进行 评估 。 

7. 网 络 安全 机 制 包括 ( i ) .访问 控制 机 制 、( ) 交换 鉴别 机 制 )'s 
信息 量 填 充 机 制 和 ( 到 

8. 网 络 安全 策略 有 ( yt at ) 和 安全 管理 策略 等 。 

9. 网 络 常用 的 安全 技术 有 ( jt yat st )、 人 入侵 检测 技术 和 ( ) 等 。 

10. TCSEC 将 计算 机 系统 的 安全 分 为 ( ) 个 级 别 ,( ) 是 最 低级 别 ,( ) 是 最 
高 级 别 ,( ) 级 是 保护 秘密 信息 的 最 低级 别 。 

三 、 单 项 选择 题 

1. 和 人 侵 者 通过 观察 网 络 线路 上 的 信息 ,而 不 干扰 信息 的 正常 流动 ,如 搭 线 窃 听 或 非 授 
权 地 阅读 信息 。 这 样 做 不 会 影响 信息 的 ( Ys 

A. 完整 性 B. 可 靠 性 C. 可 控 性 D. 保密 性 

2. 入侵 者 对 传输 中 的 信息 或 存储 的 信息 进行 各 种 非法 处 理 , 如 有 选择 地 更 改 、 插 入 、 延 

迟 ,删除 或 复制 这 些 信息 。 这 会 破坏 网 络 信息 的 ( js 


A. 可 用 性 B. 可 靠 性 C. 完整 性 D. 保密 性 
3. 入 侵 者 利用 操作 系统 存在 的 后 门 进 入 网 络 系统 进行 非法 操作 ,这 样 可 能 会 影响 系统 
信息 的 ( 六 
A. 可 用 性 B. 保密 性 C. 完整 性 D. A、B.C 都 对 


4. 网 络 安 全 包括 (1) 安 全 运行 和 (2) 安 全 保护 两 方面 的 内 容 。 这 就 是 通常 所 说 的 可 靠 
性 、 保 密 性 ,完整 性 和 可 用 性 。(3) 是 指 保 护 网 络 系统 中 存储 和 传输 的 数据 不 被 非法 操作 ，; 
(4) 是 指 在 保证 数据 完整 性 的 同时 ,还 要 能 使 其 被 正常 利用 和 操作 ;(5) 主 要 是 利用 密码 技 
术 对 数据 进行 加 密 处 理 , 保 证 在 系统 中 传输 的 数据 不 被 无 关 人 员 识 别 。 


(1) A. 系统 B. 通信 C. 信息 D. 传输 
(2) A. 系统 B. 通信 C. 信息 D. 传输 
(3) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 
(4) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 
(5) A. 保密 性 B. 完整 性 C. 可 靠 性 D. 可 用 性 
5. ISO 的 网 络 安全 体系 结构 中 的 安全 服务 不 包括 ( ) 服 务 。 
A. 非 否认 B. 匿名 访问 C. 数据 保密 性 D. 数据 完整 性 
6. 设置 用 户 名 和 口令 ,设置 用 户 权 限 、 采 取 用 户 身 份 认证 等 手段 属于 ( ) 技 术 。 
A. 防火 墙 B. 防 病 毒 C. 数据 加 密 D. 访问 控制 
7. 制定 ( ) 策 略 的 目的 之 一 是 保护 网 络 系统 中 的 交换 机 、 路 由 器 、 服 务 器 等 硬件 实 
体 和 通信 和 链 路 免 受 攻击 。 
A. 物理 安全 B. 访问 控制 C. 安全 审计 D. 信息 加 密 六 
1 
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第 2 章 网 络 操作 系统 安全 





本 章 要 点 
。 网 络 操作 系统 简介 ; 
。 网 络 操 作 系 统 的 安全 与 管理 。 


研究 计算 机 网 络 安全 ,首先 要 考虑 的 是 操作 系统 的 安全 。 任 何 系统 的 运行 都 是 建立 在 
操作 系统 的 基础 上 的 ,就 像 一 栋 大 楼 的 安全 必须 建立 在 地 基 安 全 的 基础 上 一 样 ,网 络 安全 也 必 
须 建立 在 操作 系统 的 安全 之 上 。 没 有 操作 系统 的 安全 ,其 他 的 安全 措施 是 得 不 到 保证 的 。 

网 络 操作 系统 (Network Operating System,NOS) 是 网 络 的 核心 , 与 单机 操作 系统 相 
比 , 它 不 仅仅 具有 操作 系统 的 存储 管理 .文件 管理 等 功能 ,还 提供 高 效 而 可 靠 的 网 络 通信 环 
境 和 多 种 网 络 服务 功能 ,如 文件 服务 .打印 服务 . 记 账 服务 ,数据库 服务 以 及 支持 Internet 和 
Intranet 服务 ,为 用 户 方便 而 有 效 地 使 用 和 管理 网 络 资源 提供 网 络 接口 和 网 络 服务 。 本 章 
主要 介绍 网 络 操作 系统 的 安全 及 一 些 安全 设置 。 


2.1 网 络 操作 系统 简介 


网 络 操作 系统 是 为 使 网 络 用 户 能 方便 而 有 效 地 共享 网 络 资源 而 提供 各 种 服务 的 软件 及 
相关 规程 的 集合 ,是 网 络 软件 系统 的 基础 。 它 是 整个 网 络 的 核心 ,通过 对 网 络 资源 的 管理 ， 
为 用 户 方 便 而 有 效 地 使 用 网 络 资源 提供 网 络 接口 和 网 络 服务 。 网 络 操作 系统 运行 在 被 称 为 
服务 器 的 计算 机 上 ,并 由 联网 的 计算 机 用 户 共 享 ,这 类 用 户 称 为 客户 。 

目前 ,人们 常用 的 网 络 操作 系统 有 Windows Server NT、Windows Server 2000、 
Windows Server 2003、Windows Server 2008、\UNIX 、Linux iPhone 和 Android 等 。 


2.1.1 Windows Server 2008 系统 


1，Windows Server 2008 系统 简介 

Windows Server 2008 是 微软 于 2008 年 3 月 发 布 的 基于 Windows NT 技术 开发 的 新 
一 代 网 络 操作 系统 。 对 于 企业 应 用 ,服务 器 操作 系统 的 选择 对 构建 网 络 是 非常 重要 的 。 
Windows Server 2008 ,继承 了 Windows Server 2003 的 稳定 性 和 Windows XP 的 易 用 性 ,并 
且 提 供 了 更 好 的 硬件 支持 和 更 强大 的 功能 。 

Windows Server 2008 R2 是 一 款 服 务 器 操作 系统 。 这 是 微软 第 一 个 支持 64 位 的 操作 
系统 , 它 增强 了 Active Directory 功能 ,增强 了 硬件 支持 和 虚拟 化 管理 功能 。 基 于 64 位 架构 
的 Windows Server 2008 R2 负载 能 力 大 大 增强 .无 论 从 性 能 和 稳定 性 上 都 得 到 了 提升 。 


Windows Server 2008 R2 家 族 有 七 个 版 本 ,每 个 版 本 都 提供 了 重要 功能 ,用 于 支撑 各 种 规模 
的 业务 和 IT 需求 。Windows Server 2008 R2 家 族 的 主要 版 本 及 简单 应 用 介绍 如 下 。 

1) Windows Server 2008 R2 Foundation( 基 础 版 ) 

此 版 本 是 一 种 成 本 低廉 的 项 目 级 技术 基础 ,面向 的 是 小 型 企业 和 IT 多 面 手 , 用 于 支撑 
小 型 的 业务 。 该 版 本 是 一 种 成 本 低廉 .容易 部 署 、 经 过 实践 证 实 的 可 靠 技术 ,为 机 构 提 供 了 
一 个 基础 平台 ,可 以 运行 最 常见 的 业务 应 用 ,共享 信息 和 资源 。 

2) Windows Server 2008 R2 Standard( 标 准 版 ) 

此 版 本 是 目前 最 健壮 的 Windows Server 操作 系统 。 它 自 带 了 改进 的 Web 和 虚拟 化 功 
能 ,利用 其 中 强大 的 工具 ,可 以 更 好 地 控制 服务 器 ,提高 配置 和 管理 任务 的 效率 。 而 且 , 其 改 
进 的 安全 特性 可 以 强化 操作 系统 ,提高 服务 器 架构 的 可 靠 性 和 灵活 性 ,同时 还 能 节省 时 间 和 
成 本 。 

3) Windows Server 2008 R2 Enterprise( 企 业 版 ) 

此 版 本 是 一 个 高 级 企业 级 服务 器 平台 ,为 重要 应 用 提供 一 种 成 本 较 低 的 高 可 靠 性 支持 。 
它 还 在 虚拟 化 、 节 能 以 及 管理 方面 增加 了 新 功能 ,使 得 流动 办 公 的 员工 可 以 更 方便 地 访问 公 
司 的 资源 。 

4) Windows Server 2008 R2 Datacenter( 数 据 中 心 版 ) 

此 版 本 提供 了 一 个 基础 平台 ,在 此 基础 上 可 以 构建 企业 级 虚拟 化 和 按 比例 增加 的 解决 
方案 。 可 以 用 于 部 署 关 键 业 务 应 用 程序 ,以 及 在 各 种 服务 器 上 部 署 大 规模 的 虚拟 化 方案 。 
它 改进 了 可 用 性 `. 电 源 管理 ,并 集成 了 移动 和 分 支 位 置 解决 方案 。 

2. Windows Server 2008 系统 新 功能 

与 以 前 各 版 本 相 比 ,Windows Server 2008 在 架构 和 功能 上 都 有 着 飞跃 式 的 进步 ,因此 
它 吸 引 了 广大 的 Windows 2000 和 Windows Server 2003 用 户 。 概 括 起 来 说 , Windows 
Server 2008 具有 如 下 新 特性 。 

1) Server Core 

Server Core 是 一 个 运行 在 Windows Server 2008 操作 系统 上 的 一 个 非常 简单 的 服务 器 
安装 选项 ,其 作用 就 是 为 服务 器 提供 了 一 个 功能 有 限 但 维护 操作 简单 的 环境 ,从 而 为 管理 
DHCP、DNS .文件 服务 器 或 域 控制 器 提供 所 需要 的 功能 .可 极 大 地 增强 服务 器 的 稳定 性 和 
系统 服务 的 可 管理 性 ,减少 其 他 服务 和 管理 工具 可 能 造成 的 攻击 和 风险 ,降低 软件 维护 量 和 
硬件 空间 的 占有 率 。Server Core 是 为 网 络 和 文件 服务 基础 设施 开发 人 员 、 服 务 器 管理 工具 
和 实用 程序 开发 人 员 以 及 IT 规划 师 的 使 用 而 设计 的 。 

2) 硬件 支持 和 虚拟 化 管理 

在 对 CPU 和 内 存 的 支持 方面 ,Windows Server 2008 可 以 支持 多 达 256 个 逻辑 处 理 器 
核心 和 2TB 的 内 存 。Windows Server 2008 R2 中 的 服务 器 虚拟 化 软件 Hyper-VR2 具有 处 
理 器 兼容 功能 。 处 理 器 兼容 功能 允许 用 户 在 同一 处 理 器 供应 商 的 前 后 多 代 处 理 器 间 移 动 。 
该 项 功能 使 得 虚拟 机 可 以 在 同一 处 理 器 架构 下 的 任意 硬件 平台 上 进行 迁移 ,这 为 实际 应 用 
提供 了 极 大 的 便利 。 

3) 硬件 容错 机 制 

Windows Server 2008 提供 了 增强 的 硬件 容错 机 制 (WHEA), 极 大 地 提高 了 操作 系统 
和 硬件 的 可 靠 性 。 该 机 制 能 帮助 系统 与 众多 的 硬件 进行 兼容 和 匹配 ,内 置 的 内 存 容错 同步 
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机 制 在 不 中 断 操作 系统 和 应 用 程序 正常 运行 的 状态 下 可 从 内 存 和 页 面 文 件 上 还 原 和 恢复 。 
该 机 制 也 包含 了 对 硬件 元 余 的 支持 。 在 不 关闭 系统 的 情况 下 ,系统 管理 员 依 然 可 以 对 
Windows Server 2008 R2 企业 版 .数据 中 心 版 等 系统 运行 的 硬件 设备 进行 维护 (如 热 添加 或 
替换 内 存 .CPU 和 磁盘 ) 操 作 ,系统 会 自动 识别 这 些 更 改 。 

4) 随机 分 布地 址 空间 

Windows Server 2008 提供 了 随机 分 配 地 址 空间 (ASLR) 功 能 。ASLR 可 以 确保 操作 
系统 的 任何 两 个 并 发 实例 每 次 都 会 载 人 到 不 同 的 内 存 地 址 上 。 有 了 ASLR, 每 一 个 系统 服 
务 的 地 址 空间 都 是 随机 的 ,恶意 软件 很 难 轻易 地 找到 它们 。 

5) SMB2 网 络 文件 系统 

Windows Server 2008 采用 了 SMB2 网 络 文件 系统 , 比 原来 的 网 络 文件 系统 SMB 能 更 
好 地 管理 体积 越 来 越 大 的 媒体 文件 。 在 微软 的 内 部 测试 中 ,SMB2 媒体 服务 器 的 速度 可 达 
到 Windows Server 2003 的 4~5 倍 。 

6) 核心 事务 管理 器 

Windows Server 2008 提供 了 核心 事务 管理 器 (KTM) 功 能 。 该 项 功能 对 开发 人 员 来 说 
尤其 重要 , 它 可 以 大 大 减少 甚至 消除 经 常 导致 系统 注册 表 或 文件 系统 崩溃 的 多 线程 试图 访 
问 同一 资源 的 问题 ,其 原因 就 是 KTM 可 作为 事务 客户 端 接 入 的 一 个 事务 管理 器 进行 工作 。 

7) 自修 复 NTFS 

Windows Server 2008 提供 了 自修 复 NTFS 文件 系统 服务 ,该 服务 会 在 后 台 默 默 工作 ， 
检测 文件 系统 错误 ,并 且 可 以 在 无 须 关 闭 服务 器 的 状态 下 自动 对 其 修复 。 这 样 就 使 得 在 文 
件 系 统 发 生 错 误 时 ,服务 器 将 只 会 暂时 无 法 访问 部 分 数据 ,整体 运行 基本 不 受 影响 。 

此 外 ,Windows Server 2008 还 提供 了 PowerShell 命令 行 、 并 行 Session 创建 和 快速 关 
机 服务 等 功能 。 


2.1.2 UNIX 系统 


1. UNIX 简介 

1970 年 美国 电报 电话 公司 (AT&T) 的 贝尔 实验 室 (Bell Labs) 研 制 出 了 一 种 新 的 计算 
机 操作 系统 ,这 就 是 UNIX。UNIX 是 一 种 分 时 操作 系统 ,主要 用 在 大 型 机 、 超 级 小 型 机 、 
RISC 计算 机 和 高 档 微机 上 。 在 20 世纪 70 年 代 它 得 到 了 广泛 的 普及 和 发 展 。 许 多 工作 站 
生产 厂家 使 用 UNIX 作为 其 工作 站 的 操作 系统 。 在 20 世纪 80 年 代 , 由 于 世界 上 各 大 公司 
纷纷 开发 并 形成 自己 的 UNIX 版 本 ,出 现 了 分 裂 局 面 ,加 之 受到 了 NetWare 的 极 大 冲击 ， 
UNIX 曾 一 度 衰败 。20 世纪 90 年 代 , 开 发 和 使 用 UNIX 的 各 大 公司 再 次 加 强 了 合作 和 对 
UNIX 的 统一 进程 ,并 加 强 了 对 UNIX 系统 网 络 功能 的 深入 研究 ,不 断 推出 了 功能 更 强大 的 
新 版 本 ,并 以 此 拓展 全 球 网 络 市 场 。20 世纪 90 年 代 中 期 ,UNIX 作为 一 种 成 熟 . 可 靠 、 功 能 
强大 的 操作 系统 平台 ,特别 是 对 TCP/IP 的 支持 以 及 大 量 的 应 用 系统 ,使 得 它 继续 拥有 相当 
规模 的 市 场 ,并 保持 了 连续 数 年 的 两 位 数字 的 增长 。 

UNIX 系统 的 再 次 成 功 取决 于 它 将 TCP/IP 运行 于 UNIX 操作 系统 上 ,使 之 成 为 
UNIX 操作 系统 的 核心 ,从 而 构成 了 UNIX 网 络 操作 系统 。UNIX 操作 系统 在 各 种 机 器 上 
都 得 到 了 广泛 的 应 用 , 它 已 成 为 最 流行 的 网 络 操作 系统 之 一 和 事实 上 标准 的 网 络 操作 系统 。 
UNIX 系统 服务 器 可 以 与 Windows 及 DOS 工作 站 通过 TCP/IP 连接 成 网 络 。UNIX 服务 


器 具有 支持 网 络 文件 系统 服务 .提供 数据 库 应 用 等 优点 。 

2. UNIX 系统 的 特点 

(1) UNIX 系统 是 一 个 可 供 多 用 户 同 时 操作 的 会 话 式 分 时 操作 系统 。 不 同 的 用 户 可 以 
在 不 同 的 终端 上 通过 会 话 方式 控制 系统 操作 。 

(2) UNIX 系统 继承 了 以 往 操作 系统 的 先进 技术 ,又 在 总 体 设计 思想 上 有 所 创新 。 在 
操作 系统 功能 设计 上 力求 简捷 、 高 效 。 

(3) UNIX 系统 在 结构 上 分 为 内 核 和 核 外 程序 两 部 分 。 内 核 部 分 就 是 一 般 所 说 的 
UNIX 操作 系统 。 能 够 从 内 核 中 分 离 出 来 的 部 分 , 则 以 核 外 程序 的 形式 存在 并 在 用 户 环 境 
下 运行 。 内 核 向 核 外 程序 提供 了 充分 而 强大 的 支持 ,而 核 外 程序 则 灵活 地 运用 了 内 核 的 
支持 。 

(4) UNIX 系统 向 用 户 提 供 了 两 种 界面 : 一 种 是 用 户 使 用 命令 ,通过 终端 与 系统 进行 交 
互 的 界面 , 即 用 户 界 面 ; 另 一 种 是 用 于 用 户 程序 与 系统 的 接口 , 即 系统 调用 。 

(5) UNIX 系统 采用 树 形 结构 的 文件 系统 。 它 由 基本 文件 系统 和 可 装 件 的 若干 个 子 文 
件 系统 组 成 。 它 既 能 扩大 文件 存储 空间 ,又 具有 和 良好 的 安全 性 、 保 密 性 和 可 维护 性 。 

(6) UNIX 系统 提供 了 丰富 的 核 外 系统 程序 ,其 中 包含 有 丰富 的 语言 处 理 程序 .系统 实 
用 程序 和 开发 软件 的 工具 。 这 些 程序 为 用 户 提 供 了 相当 完备 的 程序 设计 环境 。 

(7) UNIX 系统 基本 上 是 用 C 语言 编写 的 ,这 使 系统 易于 理解 ,修改 和 扩充 , 且 使 系统 
具有 良好 的 可 移植 性 。 

(8) UNIX 系统 是 能 在 笔记 本 电脑 .个 人 计算 机 、 工 作 站 、 中 小 型 机 乃至 巨型 机 上 运行 
的 操作 系统 。 因 此 ,UNIX 系统 具有 极 强 的 可 伸缩 性 。 


2.1.3 Linux 系统 


1. Linux 简介 

Linux 是 一 种 类 似 UNIX 操作 系统 的 自由 软件 , 它 是 由 芬兰 赫尔辛基 大 学 一 位 名 叫 
Linus 的 大 学 生发 明 的 。1991 年 8 月 ,Linus 在 Internet 上 公布 了 他 开发 的 Linux 的 源 代 
码 。 由 于 Linux 具有 结构 清晰 、 功 能 简捷 和 完全 开放 等 特点 ,许多 大 学 生 和 科研 机 构 的 研究 
人 员 纷 纷 将 其 作为 学 习 和 研究 对 象 。 他 们 在 修改 原 Linux 版 本 中 错误 的 同时 ,也 不 断 为 
Linux 增加 新 的 功能 。 在 全 世界 众多 热心 者 的 努力 下 ,Linux 操作 系统 得 以 迅速 发 展 ,成 为 
一 个 稳定 可 靠 、 功 能 完善 的 操作 系统 ,并 赢得 了 许多 公司 的 支持 ,包括 提供 技术 支持 ,开发 
Linux 应 用 软件 ,并 将 其 应 用 推 而 广 之 ,这 也 大 大 加 快 了 Linux 系统 商业 化 的 进程 。 国 际 上 
许多 著名 的 IT 厂商 和 软件 商 纷纷 宣布 支持 Linux 系统 。Linux 系统 很 快 被 移植 到 Alpha、 
PowerPC、Mips 和 Sparc 等 平台 上 ,从 Netscape、IBM Oracle Informix 到 Sybase 均 已 推出 
Linux 产品 。Netscape 对 Linux 的 支持 ,大 大 加 强 了 Linux 在 Internet 应 用 领域 中 的 竞争 
地 位 。 大 型 数据 库 软 件 公 司 对 Linux 的 支持 , 则 为 其 进入 大 中 型 企业 的 信息 系统 建设 和 应 
用 领域 商定 了 基础 。 

由 于 Linux 系统 具有 UNIX 系统 的 全 部 功能 ,而 且 是 属于 全 免费 的 自由 软件 ,用 户 不 
需要 支付 任何 费用 就 可 以 得 到 它 的 源 代码 , 且 可 以 自由 地 进行 修改 和 补充 ,因此 得 到 了 广大 
计算 机 爱好 者 的 支持 。 经 过 广大 计算 机 爱好 者 的 不 断 修改 和 补充 ,Linux 系统 逐渐 成 为 功 
能 强大 ,稳定 可 靠 的 操作 系统 。Linux 的 发 行 版 本 趋 于 多 样 化 ,目前 市 场 上 已 经 有 370 多 种 
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发 行 版 本 ,其 中 如 Red Hat Linux、Ubuntu、CentOS、SuSE Linux、Debian、Fedora 等 版 本 使 
用 较 普遍 。 

2. Linux 的 特点 

Linux 继承 了 UNIX 的 很 多 优点 (如 多 任务 、 多 用 户 ), 但 也 具有 其 自身 独特 的 优点 。 

(1) 共享 内 存 页 面 。 在 Linux 下 ,多 个 进程 可 以 使 用 同一 个 内 存 页 面 ,只 有 在 某 一 个 进 
程 试图 对 这 个 页 面 进行 写 操作 时 ,Linux 才 将 这 个 页 面 复制 到 内 存 的 另 一 块 区 域 。 因 此 该 
特点 不 仅 加 快 了 程序 运行 的 速度 ,还 节约 了 物理 内 存 。 

(2) 使 用 分 页 技术 的 虚拟 内 存 。 在 Linux 下 ,系统 核心 并 不 把 整个 进程 交换 到 硬盘 上 ， 
而 是 按照 内 存 页 面 来 交换 。 虚 拟 内 存 的 载体 .不仅 可 以 是 一 个 单独 的 分 区 ,也 可 以 是 一 个 文 
件 。Linux 还 可 以 在 系统 运行 时 临时 增加 交换 内 存 , 而 不 是 像 某 些 UNIX 系统 那样 要 重新 
启动 才能 使 用 新 的 交换 空间 。 

(3) 动态 链接 共享 库 。Linux 既 可 使 用 静态 链接 共享 库 , 也 可 提供 动态 链接 共享 库 功 
能 。 因 此 可 大 大 减少 Linux 应 用 程序 所 占用 的 空间 。 如 一 个 普通 的 应 用 程序 使 用 静态 链接 
编译 时 占用 空间 2MB, 而 在 使 用 动态 链接 编译 时 占用 的 空间 可 能 仅 为 50KB 左右 。 

(4) 支持 多 个 虚拟 控制 台 。 用 户 可 以 在 一 个 真实 的 控制 台 前 登录 多 个 虚拟 控制 台 , 可 
以 使 用 快捷 键 在 这 些 虚拟 控制 台 之 间 进 行 切换 。 

(5) 调度 磁盘 缓冲 功能 。Linux 最 突出 的 一 个 优点 就 是 它 的 磁盘 I/O 速度 快 ,因为 它 
将 系统 没 用 到 的 剩余 物理 内 存 全 部 用 来 做 硬盘 的 高 速 缓冲 , 当 对 内 存 要 求 比较 大 的 应 用 程 
序 运行 时 , 它 会 自动 将 这 部 分 内 存 释 放出 给 应 用 程序 使 用 。 

(6) 支持 多 平台 。 虽 然 Linux 系统 主要 在 x86 平台 上 运行 ,但 它 也 可 在 Alpha 和 Sparc 
平台 上 运行 。Red Hat 公司 已 推出 了 适合 后 两 种 平台 的 开发 套件 ,对 其 他 硬件 平台 的 移植 
工作 也 在 进行 中 。 

(7) 与 其 他 UNIX 系统 兼容 。Linux 与 大 多 数 POSIX、SYSTEMYV 等 UNIX 系统 在 源 
代码 级 兼容 ,通过 iBCS2 兼容 的 模拟 模块 ,Linux 可 直接 运行 SCO、SVR3、SVR4 的 可 执行 
程序 。 

(8) 提供 全 部 源 代码 。Linux 最 重要 的 特性 就 是 它 的 源 代码 是 免费 公开 的 ,这 包括 整 
个 系统 核心 .所 有 的 驱动 程序 、 开 发 工具 包 以 及 所 有 的 应 用 程序 。 

此 外 ,Linux 还 具有 支持 多 种 CPU、 多 种 硬件 、 软 件 移 植 性 好 等 特点 。Linux 之 所 以 发 
展 得 如 此 之 快 , 不 能 不 说 是 Internet 的 功劳 ,因为 对 Linux 的 讨论 和 研究 都 是 通过 Internet 
进行 的 。Linux 和 Internet 的 发 展 相 辅 相 成 ,没有 Internet, 就 没有 Linux 的 诞生 和 发 展 。 
反 过 来 ,Linux 的 发 展 也 大 大 促进 了 Internet 的 发 展 .因为 Linux 是 完全 开源 的 ,每 个 人 都 
可 以 得 到 它 的 源 代码 ,这 使 得 许多 人 的 才能 有 了 用 武之 地 。 在 Internet 上 ,自学 成 为 Linux 
专家 已 成 为 许多 年 轻 人 的 最 大 梦想 之 一 。 


2.1.4 Android 系统 


Android 系统 是 Google 于 2007 年 11 月 公布 的 基于 Linux 平台 的 开源 手机 操作 系统 
(俗称 Android)。Android 系统 是 一 种 基于 Linux 的 自由 及 开放 源 代码 的 操作 系统 ,主要 应 
用 于 移动 设备 ,如 智能 手机 和 平板 电脑 。 

Android 系统 基于 Linux 内 核 设 计 , 该 平台 由 操作 系统 .中 间 件 .用 户 界 面 和 应 用 软件 





组 成 。 它 采用 软件 堆 层 (Software Stack) 的 架构 ,主要 分 为 三 部 分 : 底层 以 Linux 内 核 工作 
为 基础 ,由 C 语言 开发 ,只 提供 基本 功能 ; 中 间 层 包括 函数 库 Library 和 虚拟 机 Virtual 
Machine, 由 C++ 开发 。 最 上 层 是 各 种 应 用 软件 ,包括 通话 程序 、 短 信 程序 等 ,应 用 软件 则 由 
各 公司 自行 开发 ,以 Java 作为 编写 程序 的 一 部 分 。Android 系统 不 存在 任何 以 往 阻碍 移动 
产业 创新 的 专 有 权 障 碍 ,号称 是 首 个 为 移动 终端 打造 的 真正 开放 和 完整 的 移动 软件 。 目 前 ， 
Android 系统 已 经 成 为 全 球 最 大 的 智能 手机 操作 系统 。 目 前 较 新 的 版 本 是 Android7. 0 系 
列 ,官方 代号 定名 为 Nougat( 牛 轧 糖 ) ,简称 Android N(2017 年 4 月 Google 推出 Android 
7.1.2 版 )。Android7.0 比 以 前 版 本 新 增 了 如 下 新 特性 。 

(1) 分 屏 多 任务 。 进 入 后 台 多 任务 管理 页 面 , 按 住 其 中 一 个 卡片 ,向 上 拖 动 至 顶部 即 可 
开启 分 屏 多 任务 ,支持 上 下 分 栏 和 左右 分 栏 ,允许 拖 动 中 间 的 分 割 线 调整 两 个 APP 所 占 的 
比例 。 

(2) 全 新 下 拉 快 捷 开关 页 。 在 Android7.0 中 ,下 拉 打 开通 知 栏 顶部 即 可 显示 五 个 用 户 
常用 的 快捷 开关 ,支持 单 击 开关 以 及 长 按 进入 对 应 设置 。 如 果 继 续 下 拉 通 知 栏 即 可 显示 全 
部 快捷 开关 ,此 外 在 快捷 开关 页 右 下 角 也 会 显示 一 个 “编辑 ”按钮 , 单 击 该 按钮 即 可 自 定义 添 
加 或 删除 快捷 开关 ,或 拖 动 进 行 排序 。 

(3) 通知 消息 快捷 回复 。Android7. 0 加 入 了 全 新 的 API, 支 持 第 三 方 应 用 通知 的 快捷 
操作 和 回复 ,例如 来 电 会 以 横幅 方式 在 屏幕 顶部 出 现 , 提 供 接 听 / 挂 断 两 个 按钮 ; 信息 /社交 
类 应 用 通知 ,还 可 以 直接 打开 键盘 ,在 输入 栏 里 进行 快捷 回复 。 

(4) 通知 消息 归 拢 。Android7. 0 会 将 同一 应 用 的 多 条 通知 提示 消息 归 拢 为 一 项 , 单 击 
该 项 即 可 展开 此 前 的 全 部 通知 ,允许 用 户 对 每 个 通知 执行 单独 操作 。 

(5) 夜间 模式 。Android7. 0 中 重新 加 入 了 夜间 深 色 主题 模式 ,该 功能 依然 需要 在 系统 
调谐 器 中 开启 ,从 项 部 下 滑 打开 快捷 设置 页 ,然后 长 按 其 中 的 设置 图 标 ,齿轮 旋转 10s 左右 
即 可 提示 已 开启 系统 调谐 器 ,之 后 用 户 在 设置 中 就 可 以 找到 "系统 调谐 器 ”设置 项 。 点 开 其 
中 的 “色彩 和 外 观 ”, 找 到 夜间 模式 ,开启 后 即 可 使 用 全 局 的 深 色 主题 模式 ,同时 亮度 和 色彩 
也 会 进行 一 定 的 调整 ,该 功能 可 以 基于 时 间或 地 理 位 置 自动 开启 。 

(6) 流量 保护 模式 。Android7. 0 新 增 的 流量 保护 模式 不 仅 可 以 禁止 应 用 在 后 台 使 用 流 
量 , 还 会 进一步 减少 该 应 用 在 前 台 时 的 流量 使 用 。 其 具体 实现 原理 目前 尚 不 清楚 ,推测 其 有 可 
能 使 用 了 类 似 Chrome 浏览 器 的 数据 压缩 技术 。 此 外 ,谷歌 还 扩展 了 ConnectivityManagerAPI 
的 能 力 ,使 得 应 用 可 以 检测 系统 是 否 开启 了 流量 保护 模式 ,或 检测 自己 是 否 在 白 名 单 中 。 

(7) 全 新 设置 样式 。Android7.0 启用 了 全 新 的 设置 样式 ,首先 每 个 分 类 下 各 个 子 项 之 
间 的 分 割 线 消 失 了 ,只 保留 分 类 之 间 的 分 割 线 。 全 新 的 设置 菜单 还 提供 了 一 个 绿色 的 顶 栏 ， 
允许 用 户 通过 后 方 的 下 拉 箭 头 ,快速 设 定 勿 扰 模 式 等 。 除 了 勿 扰 模 式 外 ,项 栏 菜 单 还 可 以 显 
示 诸 多 其 他 的 设置 状态 ,例如 数据 流量 的 使 用 情况 、 自 动 亮度 是 否 开启 等 。 

(8) 改进 的 Doze 休眠 机 制 。Android7.0 中 对 Doze 休眠 机 制 做 了 进一步 的 优化 , 休 卢 
机 制 的 使 用 规则 和 场景 有 所 扩展 ,例如 只 要 手动 在 后 台 删 掉 应 用 卡片 , 关 屏 后 该 应 用 就 会 很 
快 地 进入 深度 休眠 。 

(9) 系统 级 电话 黑 名 单 功能 。Android7. 0 将 电话 拦截 功能 变 成 了 一 个 系统 级 功能 。 
其 他 应 用 可 以 调用 这 个 拦截 名 单 ,但 只 有 个 别 应 用 可 以 写 入 ,包括 拨号 应 用 、 默 认 的 短信 应 
用 等 。 被 拦截 号 码 将 不 会 出 现在 来 电 记录 中 ,也 不 会 出 现 通 知 。 另 外 用 户 也 可 以 通过 账户 
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体系 备份 和 恢复 这 个 拦截 名 单 ,以便 快 速 导 入 其 他 设备 或 账号 。 
2.1.5 iPhone 操作 系统 


iPhone 操作 系统 (iPhone OS. 简 称 10S) 是 由 Apple( 苹 果 ) 公 司 为 移动 设备 开发 的 操作 
系统 。Apple 公司 最 早 于 2007 年 1 月 公布 了 iOS, 到 2016 年 6 月 Apple 公 司 公布 了 iOS10 
系统 。 最 初 iOS 是 设计 给 iPhone 使 用 的 .后 来 该 系统 支持 的 设备 陆续 扩展 至 iPhone iPod 
Touch ,iPad、Apple TV 等 产品 。iOS 与 Apple 公司 的 Mac OSX 操作 系统 一 样 ,属于 类 
UNIX 的 商业 操作 系统 。 

iOS 的 系统 架构 分 为 四 个 层次 : 核心 操作 系统 层 (the Core OS Layer) ,核心 服务 层 (the 
Core Services Layer) ,媒体 层 (the Media Layer) 和 可 轻 触 层 (the Cocoa Touch Layer) 。 

iOS 用 户 界面 的 概念 基础 是 能 够 使 用 多 点 触 控 直 接 操 作 。 控 制 方法 包括 滑动 、 轻 触 开 
关 或 按键 。 与 系统 互动 包括 滑动 (swiping) 、 轻 按 (tapping)、 挤 压 (pinching) 及 旋转 (reverse 
pinching)。 此 外 ,通过 其 内 置 的 加 速 器 ,可 以 令 其 旋转 装置 改变 其 y 轴 使 屏幕 改变 方向 。 

日 前 市 面 上 使 用 的 较 新 的 系统 版 本 是 10S 10. 3. 2。iOS 10. 3 是 10S 10 系统 的 第 三 次 
重大 版 本 更 新 。iOS 10. 3 提供 了 很 多 重要 的 新 功能 ,例如 查找 AirPods、 全 新 的 动画 设计 
等 ,同时 Apple 公司 还 启用 了 全 新 的 AFPS 文件 系统 ,除了 更 流畅 外 ,还 能 节约 至 少 2GB 的 
存储 空间 。iOS 10. 3 还 对 系统 底层 进行 了 优化 , 当 用 户 完成 升级 后 ,iOS 设备 的 文件 系统 会 
更 新 至 全 新 的 Apple 公司 文件 系统 APFS。 

在 iOS 10. 3. 2 正式 版 发 布 之 前 Apple 公司 发 布 了 五 个 iOS 10. 3. 2 测试 版 betal ~ 
beta5。10. 3. 2 正式 版 更 新 主要 是 修复 Bug( 例 如 修复 了 SiriKit 的 回 车 命令 ) 和 对 iPhone 
或 iPad 安全 性 的 改进 。 用 户 可 以 通过 OTA 的 方式 免费 升级 至 最 新 的 10. 3. 2( 约 177. 4MB)， 
也 可 以 通过 下 载 后 通过 Mac 或 PC 上 的 iTunes 安装 。 

iOS 10. 3 具有 如 下 应 用 功能 。 

(1) 多 语言 功能 。iOS 设备 可 在 世界 各 地 通用 。 有 30 多 种 语言 供 选 择 ,用 户 还 可 以 在 
各 种 语言 之 间 轻 松 切 换 。 由 于 iOS 键盘 是 基于 软件 设计 的 ,因而 有 50 多 种 支持 特定 语言 
功能 的 不 同 版 式 供用 户 选择 ,其 中 包括 字符 的 变 音 符 和 日 文 关联 字符 选项 。 此 外 ,内 置 词 典 
支持 50 多 种 语言 , VoiceOver 可 阅读 超过 35 种 语言 的 屏幕 内 容 , 语 音 控制 功能 可 读 懂 
20 多 种 语言 。 

(2) 学 习 功能 。 有 了 iOS,iPhone ipPad 和 iPod Touch 等 设备 即 可 变 为 出 色 的 学 习 工 
具 。 用 户 可 使 用 日 历来 追踪 所 有 的 课程 和 活动 ,提醒 事项 的 发 生 ,帮助 用 户 准时 赴约 并 参加 
小 组 学 习 , 还 可 利用 备忘录 APP 随手 记 下 清单 内 容 , 或 将 好 想法 记录 下 来 。 借 助 内 置 的 
WLAN 功能 在 网 上 进行 研究 或 撰写 电子 邮件 :甚至 还 可 以 添加 照片 或 文件 附件 ; 使 用 语音 
备忘录 可 以 录制 采访 、 朗 读 示例 、 学 习 指 南 或 课堂 讲座 。 

(3) 全 新 的 通知 查看 功能 。 在 iPhone 屏幕 上 用 户 就 能 看 到 目前 的 通知 和 更 新 情况 。 

(4) 智能 语音 控制 功能 。 用 户 可 让 Siri(Apple 公司 智能 语音 助手 ) 实 现 更 多 的 功能 , 且 
Siri 将 会 更 加 智能 。 例 如 Siri 可 以 直接 支持 的 应 用 有 微 信 、WhatsApp、Uber、 滴 滴 、Skype 
等 ; 基于 用 户 的 地 点 日历. 联系 人 、 联 系 地 址 等 ,Siri 会 做 出 智能 建议 。Siri 将 会 成 为 一 个 
人 工 智能 机 器 人 ,具备 深度 学 习 功 能 。 

(5) 地 图 功能 。 类 似 Siri 的 更 新 ,Apple 公司 地 图 也 增加 了 很 多 预测 功能 ,如 能 够 提供 





附近 的 餐厅 建议 。 其 界面 也 得 到 了 重新 设计 . 变 得 更 加 简洁 .并 增加 了 交通 实时 信息 。 新 的 
Apple 公司 地 图 还 将 整合 在 Apple 公司 CarPlay 中 ,为 用 户 提 供 turn-by-turn 导航 功能 。 

(6) 音乐 功能 。Apple 公司 音乐 的 界面 得 到 了 更 新 ,界面 更 加 简洁 、 支 持 多 任务 ,增加 
了 最 近 播 放 列表 。 

(7) 新 闻 功 能 。Apple 公司 新 闻 得 到 了 较 大 的 更 新 ,应 用 界面 被 重新 设计 ,增加 了 订阅 
功能 ,更 新 了 通知 功能 。 

(8) 智能 家 庭 应 用 功能 。 该 功能 支持 使 用 带 开关 和 按钮 的 配件 来 触发 场景 ,支持 检查 
配件 电池 电量 状态 ,等 等 。 

(9) 即时 通信 功能 。 利 用 iMessage( 即 时 通信 和 软件) ,用 户 可 以 直接 在 文本 框 内 发 送 视 
频 、 链 接 , 分 享 实时 照片 ,还 具有 表情 预测 功能 ,输入 的 文字 若 与 表情 相符 ,将 会 直接 推荐 相 








2.2 网 络 操作 系统 的 安全 与 管理 


网 络 操作 系统 在 网 络 应 用 中 发 挥 着 十 分 重要 的 作用 。 因 此 ,网 络 操作 系统 本 身 的 安全 ， 
就 成 为 网 络 安全 保护 中 的 重要 内 容 。 

操作 系统 主要 的 安全 功能 包括 : 存储 器 保护 (限定 存储 区 和 地 址 重 定位 ,保护 存储 信 
息 ) 文件 保护 (保护 用 户 和 系统 文件 ,防止 非 授权 用 户 访问 ) 访问 控制 .身份 认证 (识别 请 求 
访问 的 用 户 权限 和 身份 等。 


2.2.1 网 络 操 作 系 统 的 安全 与 访问 控制 


1. 网 络 操作 系统 安全 

网 络 操作 系统 安全 保护 的 研究 ,通常 包括 如 下 内 容 : 第 一 ,操作 系统 本 身 提供 的 安全 功 
能 和 安全 服务 。 现 代 操 作 系 统 本 身 往往 要 提供 一 定 的 访问 控制 .认证 和 授权 等 方面 的 安全 
服务 。 如 何 对 操作 系统 本 身 的 安全 性 能 进行 研究 和 开发 ,使 之 符合 特定 的 环境 和 需求 ,是 
操作 系统 安全 保护 的 一 个 方面 ; 第 二 ,针对 各 种 常用 的 操作 系统 ,进行 相关 配置 ,使 之 能 
正确 对 付 和 防御 各 种 人 侵 ; 第 三 ,保证 网 络 操作 系统 本 身 所 提供 的 网 络 服务 能 得 到 安全 
配置 。 

网 络 操作 系统 安全 是 整个 网 络 系统 安全 的 基础 。 操 作 系统 安全 机 制 主要 包括 访问 控制 
和 隔离 控制 。 隔 离 控制 主要 有 物理 (设备 或 部 件 ) 隔 离 .时 间隔 离 .逻辑 隔离 和 加 密 隔离 等 实 
现 方法 ; 而 访问 控制 是 安全 机 制 的 关键 ,也 是 操作 系统 安全 中 最 有 效 、 最 直接 的 安全 措施 。 

访问 控制 系统 一 般 包 括 主体 、 客 体 和 安全 访问 政策 。 

主体 (Subject) 是 指 发 出 访问 操作 、 存 取 请 求 的 主动 方 , 它 包 括 用 户 、 用 户 组 ,主机 ,终端 
或 应 用 进程 等 。 

客体 (Object) 是 指 被 调用 的 程序 或 要 存 取 的 数据 访问 , 它 包 括 文件 程序 内存. 目录、 
队列 、 进 程 间 报 文 .1/O 设备 和 物理 介质 等 。 主 体 可 以 访问 客体 。 

安全 访问 政策 是 一 套 规则 ,可 用 于 确定 一 个 主体 是 否 对 客体 拥有 访问 能 力 。 

操作 系统 内 的 活动 都 可 以 看 作 是 主体 对 计算 机 系统 内 部 所 有 客体 的 一 系列 操作 。 操 作 
系统 中 任何 含有 数据 的 东西 都 是 客体 ,可 能 是 一 个 字 节 字段 或 记录 程序 等 。 能 访问 或 使 用 
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客体 活动 的 实体 是 主体 ,主体 一 般 是 用 户 或 者 代表 用 户 进行 操作 的 进程 。 

在 计算 机 系统 中 ,对 于 给 定 的 主体 和 客体 ,必须 有 一 套 严 格 的 规则 来 确定 一 个 主体 是 否 
被 授权 获得 对 客体 的 访问 。 

一 般 来 说 ,如 果 一 个 计算 机 系统 是 安全 的 , 即 指 该 系统 能 通过 特定 的 安全 功能 控制 主体 
对 客体 信息 的 访问 ,也 就 是 说 只 有 经 过 授权 的 主体 才能 读 、 写 、 创 建 或 删除 客体 信息 。 

2. 网 络 访问 控制 

1) 访问 控制 的 类 型 

为 了 系统 信息 的 保密 性 和 完整 性 ,对 网 络 系统 需要 实施 访问 控制 。 访 问 控制 是 对 用 户 
访问 网 络 系统 资源 进行 的 控制 过 程 。 只 有 被 授予 一 定 权限 的 用 户 , 才 有 资格 去 访问 有 关 的 
资源 。 访 问 控 制 具体 包括 两 方面 含义 ,一 是 指 对 用 户 进入 系统 的 控制 ,最 简单 最 常用 的 方法 
是 用 户 账户 和 口令 限制 ,其 次 还 有 一 些 身份 验证 措施 ; 二 是 用 户 进 入 系统 后 对 其 所 能 访问 
的 资源 进行 的 限制 ,最 常用 的 方法 是 访问 权限 和 资源 属性 限制 。 

访问 控制 所 考虑 的 是 对 主体 访问 客体 的 控制 。 主 体 一 般 是 以 用 户 为 单位 实施 访问 控制 
(划分 用 户 组 只 是 对 具有 相同 访问 权限 的 用 户 的 一 种 管理 方法 ) ,此 外 ,网 络 用 户 也 有 以 IP 
地 址 为 单位 实施 访问 控制 的 。 客 体 的 访问 控制 范围 可 以 是 整个 应 用 系统 ,包括 网 络 系统 、 服 
务 器 系统 .操作 系统 .数据 库 管 理 系统 以 及 文件 .数据库 ,数据库 中 的 某 个 表 甚 至 是 某 个 记录 
或 字段 等 。 一 般 来 说 ,对 整个 应 用 系统 的 访问 ,宏观 上 通常 是 采用 身份 鉴别 的 方法 进行 控 
制 ,而 微观 控制 通常 是 指 在 操作 系统 数据库 管理 系统 中 所 提供 的 用 户 对 文件 或 数据 库 表 、 
记录 /字段 的 访问 所 进行 的 控制 。 

访问 控制 可 分 为 自主 访问 控制 和 强制 访问 控制 两 大 类 。 

(1) 自主 访问 控制 。 所 谓 自 主 访问 控制 ,是 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访 
问 对 象 (文件 .数据 表 等 ) 进 行 访 问 ,并 可 将 这 些 对 象 的 访问 权 授予 其 他 用 户 或 从 被 授予 权限 
的 用 户 处 收回 其 访问 权限 。 访 问 对 象 的 创建 者 还 有 权 进 行 “ 权 限 转让 ”, 即 将 “授予 其 他 用 户 
访问 权限 ”的 权限 转让 给 别 的 用 户 。 需 要 指出 的 是 ,在 一 些 系统 中 ,往往 是 由 系统 管理 员 充 
当 访 问 对 象 的 创建 者 ,并 进行 访问 授权 ,而 在 其 后 通过 “授权 转让 ”将 权限 转让 给 指定 用 户 。 
自主 访问 控制 允许 用 户 自行 定义 其 所 创建 的 数据 , 它 以 一 个 访问 矩阵 来 表示 包括 读 , 写 、 执 
行 、 附 加 以 及 控制 等 访问 模式 。 

(2) 强制 访问 控制 。 所 谓 强 制 访问 控制 ,是 指 由 系统 (通过 专门 设置 的 系统 安全 员 ) 对 
用 户 所 创建 的 对 象 进行 统一 的 强制 性 控制 ,按照 规定 的 规则 决定 哪些 用 户 可 以 对 哪些 对 象 
进行 何 种 操作 系统 类 型 的 访问 ,即使 是 创建 者 用 户 ,在 创建 一 个 对 象 后 ,也 可 能 无 权 访 问 该 
对 象 。 

强制 访问 控制 策略 以 等 级 和 范畴 作为 其 主 、 客 体 的 敏感 标记 。 这 样 的 等 级 和 范畴 ,必须 
由 专门 设置 的 系统 安全 员 ,通过 由 系统 提供 的 专门 界面 来 进行 设置 和 维护 ,敏感 标记 的 改变 
意味 着 访问 权限 的 改变 。 因 此 可 以 说 ,所 有 用 户 的 访问 权限 完全 是 由 安全 员 根 据 需 要 确 
定 的 。 

2) 访问 控制 措施 

访问 控制 是 保证 网 络 系统 安全 的 主要 措施 ,也 是 维护 网 络 系统 安全 、 保 护 网 络 资源 的 重 
要 手段 。 通 常 具 体 的 访问 控制 措施 有 以 下 几 种 。 

(1) 入 网 访问 控制 。 入 网 访问 控制 是 为 用 户 安全 访问 网 络 设置 的 第 一 道 关口 。 它 是 通 


过 对 某 些 条 件 的 设置 来 控制 用 户 是 否 能 进入 网 络 的 一 种 安全 控制 方法 。 它 能 控制 哪些 用 户 
可 以 登录 网 络 , 在 什么 时 间 、 什 么 地 点 (站 点 ) 登 录 网 络 等 。 

入 网 访问 控制 主要 是 对 要 进入 系统 的 用 户 进 行 识别 ,并 验证 其 合法 身份 。 系 统 可 以 采 
用 用 户 账户 和 口令 ,账户 锁定 、 安 全 标识 符 及 其 他 一 些 身份 验证 等 方法 实现 。 

每 个 用 户 在 进行 网 络 注册 时 ,都 要 由 系统 指定 或 由 用 户 自己 选择 一 个 用 户 账户 (用 户 
名 ) 和 用 户口 令 。 这 些 用 户 账户 及 口令 信息 都 被 存储 于 系统 的 用 户 信 息 数 据 库 中 。 也 就 是 
说 ,每 个 要 入 网 的 合法 用 户 都 有 一 个 系统 认可 的 用 户 名 和 用 户口 令 。 当 用 户 要 登录 网 络 时 ， 
首先 要 输入 自己 的 用 户 名 和 用 户口 令 ,然后 服务 器 将 验证 用 户 输入 的 用 户 名 和 用 户口 令 信 
息 是 否 合法 有 效 。 如 果 验 证 通过 ,用 户 即 可 进入 网 络 ,去 访问 其 所 需要 上 且 有 权 访 问 的 资源 ， 
否则 用 户 将 被 拒 于 网 络 之 外 。 

为 了 防止 非法 用 户 冒 充 合法 用 户 尝试 用 穷 举 法 猜测 口令 而 登录 系统 ,系统 应 为 用 户 设 
定 尝试 登录 的 最 大 次 数 。 在 达到 该 次 数 数 值 后 ,系统 将 自动 锁定 该 用 户 ,不 允许 其 再 尝试 
登录 。 

必要 时 ,系统 为 用 户 建立 的 账户 中 还 可 包含 对 用 户 的 入 网 时 间 、 入 网 站 点 、 入 网 次 数 和 
用 户 访问 的 资源 容量 等 限制 。 

(2) 权限 访问 控制 。 一 个 用 户 人 网 登录 成 功 后 ,并 不 意味 着 他 能 够 访问 网 络 中 的 所 有 
资源 。 用 户 访问 网 络 资源 的 能 力 将 受到 访问 权限 的 限制 。 访 问 权限 控制 一 个 用 户 能 访问 哪 
些 资源 (目录 和 文件 ) ,以 及 对 这 些 资 源 能 进行 哪些 操作 。 

在 系统 为 用 户 指定 用 户 账 户 后 ,系统 根据 该 用 户 在 网 络 系统 中 要 做 的 工作 及 相关 要 求 ， 
可 为 用 户 访问 系统 资源 设 定 访 问 权限 。 用 户 要 访问 的 系统 资源 包括 目录 、 子 目录 ,文件 和 设 
备 等 。 用 户 对 这 些 资源 的 访问 操作 有 读 、 写 、 建 立 、 删 除 、 更 改 等 。 

(3) 属性 访问 控制 。 属 性 是 文件 、 目 录 等 资源 的 访问 特性 。 系 统 可 直接 对 目录 文件 等 
资源 设 定 其 访问 属性 。 通 过 设置 资源 属性 可 以 控制 用 户 对 资源 的 访问 。 属 性 是 在 权限 安全 
性 的 基础 上 提供 的 进一步 的 安全 性 。 

属性 是 系统 直接 设置 给 资源 的 , 它 对 所 有 用 户 都 具有 约束 性 ,一 旦 目录 、 文 件 等 资源 具 
有 了 某 些 属性 ,用户 (包括 超级 用 户 ) 都 不 能 进行 超出 这 些 属 性 规定 的 访问 , 即 不 论 用 户 的 访 
问 权限 如 何 , 只 能 按照 资源 自身 的 属性 实施 访问 控制 。 例 如 某 文件 具有 只 读 属性 ,对 其 有 读 
写 权限 的 用 户 也 不 能 对 该 文件 进行 写 操作 。 要 修改 目录 或 文件 的 属性 ,必须 有 对 该 目录 或 
文件 的 修改 权 ; 要 改变 用 户 对 目录 或 文件 的 权限 ,用 户 必须 具有 对 该 目录 或 文件 的 访问 控 
制 权 。 属 性 可 以 控制 访问 权限 不 能 控制 的 权限 ,如 可 以 控制 一 个 文件 是 否 可 以 同时 被 多 个 
用 户 使 用 等 。 

(4) 身份 验证 。 身 份 验 证 是 证 明 某 人 是 否 为 合法 用 户 的 过 程 , 它 是 信息 安全 体系 中 的 
重要 组 成 部 分 。 

身份 验证 的 方法 有 很 多 种 ,不 同方 法 适合 于 不 同 的 环境 .网 络 组 织 可 以 根据 自己 的 情况 
加 以 选择 。 以 下 是 几 种 常用 的 身份 验证 方法 。 

。 用 户 名 和 口令 验证 。 这 是 一 种 最 简单 的 身份 验证 方法 ,也 是 大 家 用 得 最 多 最 熟悉 的 

方法 ,前 面 已 经 有 所 介绍 。 

。 数字 证 书 验证 。 数 字 证 书 是 CA 认证 中 心 签发 的 用 于 对 用 户 进行 身份 验证 的 一 种 

“执照 ”。 数 字 证 书 的 内 容 将 在 本 书 5. 3. 3 节 中 介绍 。 


震 访 蛋 
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。 SecurityID 验证 。SecurityID 已 成 为 令 牌 身份 验证 事实 上 的 标准 ,许多 应 用 软件 都 
能 配置 成 支持 SecurityID 作为 身份 验证 手段 的 模式 。SecurityID 需要 有 一 个 能 够 
验证 用 户 身份 的 硬件 装置 (安全 卡 ) ,该 卡 上 有 一 个 显示 一 串 数 字 的 液晶 屏幕 ,其 数 
字 每 分 钟 变化 一 次 。 用 户 在 登录 时 先 输入 自己 的 用 户 名 ,然后 输入 卡 上 显示 的 数 
字 。 系 统 通过 对 用 户 输入 的 数字 进行 验证 ,如 果 数 字 正 确 , 用 户 则 通过 了 身份 验证 ， 
即 可 进入 系统 了 。 

。 用 户 的 生理 特征 验证 。 该 验证 是 通过 对 用 户 人 体 的 一 处 或 多 处 生理 特征 检测 而 进 
行 的 验证 。 众 所 周知 ,每 个 人 的 指纹 是 不 一 样 的 ,因此 指纹 是 最 常见 的 人 体 特 征 , 可 
用 来 进行 身份 验证 。 此 外 ,人 们 的 视网膜 、 面 部 轮廓 、 笔 迹 、 声 音 等 都 可 作为 人 体 特 
征用 来 进行 身份 验证 。 

。 智能 卡 验证 。 智 能 卡 的 外 观 和 手感 就 像 一 张 信 用 卡 , 但 其 原理 就 像 一 台 小 型 计算 

机 。 智 能 卡 是 可 编程 的 , 卡 里 有 一 个 处 理 器 .具有 存储 和 处 理 能 力 , 可 用 来 对 数值 进 
行 运算 ,可 无 数 次 地 接收 写 入 信息 ,可 下 载 应 用 软件 和 数据 ,然后 可 多 次 反复 地 被 使 
用 。 用 户 在 登录 计算 机 网 络 时 ,可 用 它 来 证 明 自 己 的 身份 。 不 仅 如 此 , 它 还 可 以 代 
蔡 身 份 证 ,旅行 证 件 、 信 用 卡 .出 入 证 等 多 种 现代 生活 中 离 不 开 的 证 件 。 

(5) 网 络 端口 和 结 点 的 安全 控制 。 网 络 中 服务 器 的 端口 往往 使 用 自动 回 呼 设备 .静默 
调制 解 调 器 加 以 保护 ,并 以 加 密 的 形式 来 识别 结 点 的 身份 。 自 动 回 呼 设备 用 于 防止 假冒 合 
法 用 户 ,静默 调制 解 调 器 用 以 防范 黑客 的 自动 拨号 程序 对 计算 机 进行 的 攻击 。 网 络 还 常 对 
服务 器 端 和 用 户 端 采取 控制 ,用 户 必须 携带 用 以 证 实 身 份 的 验证 器 (如 智能 卡 、 磁 卡 、 安 全 密 
码 发 生 器 等 ) ,在 用 户 的 身份 验证 合法 之 后 , 才 允 许 用 户 进入 用 户 端 。 然 后 ,用 户 端 和 服务 器 
端 再 进行 相互 验证 。 

2.2.2 Windows Server 2008 系统 安全 


Windows Server 2008 定位 的 高 远 使 它 成 为 目前 最 安全 和 最 可 靠 的 操作 系统 之 一 。 
Windows Server 2008 的 安全 改进 是 全 方位 的 ,主要 包括 以 下 内 容 。 

1. 自 带 防 火 墙 的 高 级 安全 配置 

在 此 前 的 Windows 版 本 中 实施 服务 器 或 域 隔离 时 ,有 时 必须 建立 大 量 IPSec 规则 来 保 
护 必要 的 网 络 流量 。Windows Server 2008 系统 利用 自 带 防火 墙 新 的 预 设 行为 法 则 ,可 降 
低 上 述 复 杂 性 ,进而 带 来 更 安全 且 更 易于 执行 疑难 排解 的 便利 。 

2. BitLocker 

BitLocker( 加 密 ) 组 件 主要 是 在 本 地 用 软 硬 结合 的 方式 来 保护 磁盘 数据 的 ,该 技术 可 以 
对 磁盘 内 容 进行 加 密 , 即使 服务 器 出 现 问题 送 去 修理 ,也 不 会 有 数据 泄露 的 危险 。 
BitLocker 是 Windows Server 2008 中 的 一 种 新 的 安全 特性 ,主要 用 于 解决 由 计算 机 设备 的 
物理 丢失 导致 的 数据 失窃 或 恶意 泄露 的 问题 。BitLocker 通过 加 密 Windows 系统 卷 上 存储 
的 所 有 数据 可 以 更 好 地 保护 计算 机 中 的 数据 。 

3. NAP 

为 了 避免 不 安全 的 计算 机 访问 企业 网 络 并 造成 损害 ,企业 用 户 可 以 利用 NAP( 网 络 访 
问 保护 ) 自 行 配置 客户 端的 安全 要 求 ,并 经 过 账户 合法 性 验证 后 允许 其 连接 到 企业 网 络 上 。 
其 实 NAP 就 相当 于 一 个 可 以 评估 客户 端 是 否 安全 的 软件 ,只 要 网 管 配置 好 安全 策略 ,在 发 
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。 SecurityID 验证 。SecurityID 已 成 为 令 牌 身份 验证 事实 上 的 标准 ,许多 应 用 软件 都 
能 配置 成 支持 SecurityID 作为 身份 验证 手段 的 模式 。SecurityID 需要 有 一 个 能 够 
验证 用 户 身份 的 硬件 装置 (安全 卡 ) ,该 卡 上 有 一 个 显示 一 串 数 字 的 液晶 屏幕 ,其 数 
字 每 分 钟 变化 一 次 。 用 户 在 登录 时 先 输入 自己 的 用 户 名 ,然后 输入 卡 上 显示 的 数 
字 。 系 统 通过 对 用 户 输入 的 数字 进行 验证 ,如 果 数 字 正 确 , 用 户 则 通过 了 身份 验证 ， 
即 可 进入 系统 了 。 

。 用 户 的 生理 特征 验证 。 该 验证 是 通过 对 用 户 人 体 的 一 处 或 多 处 生理 特征 检测 而 进 
行 的 验证 。 众 所 周知 ,每 个 人 的 指纹 是 不 一 样 的 ,因此 指纹 是 最 常见 的 人 体 特 征 , 可 
用 来 进行 身份 验证 。 此 外 ,人 们 的 视网膜 、 面 部 轮廓 、 笔 迹 、 声 音 等 都 可 作为 人 体 特 
征用 来 进行 身份 验证 。 

。 智能 卡 验证 。 智 能 卡 的 外 观 和 手感 就 像 一 张 信 用 卡 , 但 其 原理 就 像 一 台 小 型 计算 

机 。 智 能 卡 是 可 编程 的 , 卡 里 有 一 个 处 理 器 .具有 存储 和 处 理 能 力 , 可 用 来 对 数值 进 
行 运算 ,可 无 数 次 地 接收 写 入 信息 ,可 下 载 应 用 软件 和 数据 ,然后 可 多 次 反复 地 被 使 
用 。 用 户 在 登录 计算 机 网 络 时 ,可 用 它 来 证 明 自 己 的 身份 。 不 仅 如 此 , 它 还 可 以 代 
蔡 身 份 证 ,旅行 证 件 、 信 用 卡 .出 入 证 等 多 种 现代 生活 中 离 不 开 的 证 件 。 

(5) 网 络 端口 和 结 点 的 安全 控制 。 网 络 中 服务 器 的 端口 往往 使 用 自动 回 呼 设备 .静默 
调制 解 调 器 加 以 保护 ,并 以 加 密 的 形式 来 识别 结 点 的 身份 。 自 动 回 呼 设备 用 于 防止 假冒 合 
法 用 户 ,静默 调制 解 调 器 用 以 防范 黑客 的 自动 拨号 程序 对 计算 机 进行 的 攻击 。 网 络 还 常 对 
服务 器 端 和 用 户 端 采取 控制 ,用 户 必须 携带 用 以 证 实 身 份 的 验证 器 (如 智能 卡 、 磁 卡 、 安 全 密 
码 发 生 器 等 ) ,在 用 户 的 身份 验证 合法 之 后 , 才 允 许 用 户 进入 用 户 端 。 然 后 ,用 户 端 和 服务 器 
端 再 进行 相互 验证 。 

2.2.2 Windows Server 2008 系统 安全 


Windows Server 2008 定位 的 高 远 使 它 成 为 目前 最 安全 和 最 可 靠 的 操作 系统 之 一 。 
Windows Server 2008 的 安全 改进 是 全 方位 的 ,主要 包括 以 下 内 容 。 

1. 自 带 防 火 墙 的 高 级 安全 配置 

在 此 前 的 Windows 版 本 中 实施 服务 器 或 域 隔离 时 ,有 时 必须 建立 大 量 IPSec 规则 来 保 
护 必要 的 网 络 流量 。Windows Server 2008 系统 利用 自 带 防火 墙 新 的 预 设 行为 法 则 ,可 降 
低 上 述 复 杂 性 ,进而 带 来 更 安全 且 更 易于 执行 疑难 排解 的 便利 。 

2. BitLocker 

BitLocker( 加 密 ) 组 件 主要 是 在 本 地 用 软 硬 结合 的 方式 来 保护 磁盘 数据 的 ,该 技术 可 以 
对 磁盘 内 容 进行 加 密 , 即使 服务 器 出 现 问题 送 去 修理 ,也 不 会 有 数据 泄露 的 危险 。 
BitLocker 是 Windows Server 2008 中 的 一 种 新 的 安全 特性 ,主要 用 于 解决 由 计算 机 设备 的 
物理 丢失 导致 的 数据 失窃 或 恶意 泄露 的 问题 。BitLocker 通过 加 密 Windows 系统 卷 上 存储 
的 所 有 数据 可 以 更 好 地 保护 计算 机 中 的 数据 。 

3. NAP 

为 了 避免 不 安全 的 计算 机 访问 企业 网 络 并 造成 损害 ,企业 用 户 可 以 利用 NAP( 网 络 访 
问 保护 ) 自 行 配置 客户 端的 安全 要 求 ,并 经 过 账户 合法 性 验证 后 允许 其 连接 到 企业 网 络 上 。 
其 实 NAP 就 相当 于 一 个 可 以 评估 客户 端 是 否 安全 的 软件 ,只 要 网 管 配置 好 安全 策略 ,在 发 





现 不 符合 相关 标准 的 计算 机 后 ,NAP 就 会 限制 这 些 计算 机 访问 网 络 ,从 而 保护 局 域 网 中 的 
其 他 计算 机 的 安全 。 

4. RODC 

RODC( 只 读 域 控制 器 ) 是 Windows Server 2008 系统 中 一 种 新 类 型 的 域 控 制 器 。 
RODC 可 使 活动 目录 数据 库 处 于 只 读 状 态 , 这 样 在 提高 可 靠 性 和 安全 性 的 同时 ,还 可 减少 
流量 消耗 。RODC 提供 了 一 种 在 要 求 快 速 、 可 靠 的 身份 验证 服务 、 但 不 能 确保 可 写 域 控制 
器 的 物理 安全 性 的 位 置 中 更 安全 地 部 署 域 控制 器 的 方法 。 

5. Server Core 

Server Core( 服 务 器 核 组 件 ) 是 一 个 运行 在 Windows Server 2008 或 者 之 后 版 本 的 操作 
系统 上 的 极 小 的 服务 器 安装 选项 ,其 作用 就 是 为 特定 的 服务 提供 一 个 可 执行 的 功能 有 限 的 
低 维护 服务 器 环境 。Server Core 是 为 网 络 和 文件 服务 基础 设施 开发 人 员 、 服 务 器 管理 工具 
和 实用 程序 开发 人 员 设 计 使 用 的 。Server Core 能 够 帮助 用 户 快速 实现 四 种 服务 器 角色 ( 文 
件 服务 器 .DHCP 服务 器 .DNS 服务 器 和 域 控制 器 ) 的 部 署 。 它 能 够 有 效 地 提高 安全 性 和 降 
低 管 理 复 杂 度 ,并 可 以 实现 最 大 程度 的 稳定 性 。 

6. JIS 的 改进 

Internet 信息 服务 (IIS)7.0 在 Windows Server 2008 系统 中 是 Web 服务 器 的 角色 。 在 
IIS6.0 中 ,所 有 功能 都 是 内 置 默认 的 ,很 难 扩展 或 替代 其 中 任何 部 分 。Web 服务 器 在 IS7. 0 
中 经 过 重新 设计 ,用 户 可 通过 添加 或 删除 模块 来 自 定 义 服务 器 ,以 满足 特定 需求 。IIS7. 0 
由 40 多 个 不 同 的 特性 模块 组 成 ,默认 时 仅 安装 一 半 的 模块 ,管理 员 可 有 选择 地 增 减 相关 特 
性 模块 。 这 种 方式 比较 灵活 ,不 仅 可 大 大 节约 安装 时 间 , 还 可 减少 其 他 服务 程序 的 运行 数 
量 , 从 而 减 小 被 攻击 面 , 提 高 服务 器 的 安全 性 。 

7. 群集 改进 

为 了 简化 群集 管理 ,系统 管理 界面 已 经 过 改进 ,可 使 管理 员 将 精力 集中 在 对 应 用 程序 和 
数据 (而 不 是 群集 ) 的 管理 上 。Windows Server 2008 故障 转移 群集 的 改进 包括 : 动态 添加 
磁盘 资源 ,增强 对 存储 的 支持 和 轻松 的 磁盘 维护 。 


2.2.3 UNIX 系统 安全 


UNIX 系统 经 历 了 几 次 更 新 换代 ,其 功能 和 安全 性 都 日 至 完善 ,尽管 如 此 ,攻击 者 还 是 
可 以 利用 系统 的 一 些 漏洞 进入 系统 。 

1. UNIX 系统 的 安全 基础 

文件 系统 安全 是 UNIX 系统 的 重要 部 分 。 在 UNIX 中 .所 有 的 对 象 都 是 文件 。UNIX 
中 的 基本 文件 类 型 有 正规 文件 ,特殊 文件 目录、 链接 、 套 接 字 .字符 设备 等 ,这 些 文件 以 一 个 
分 层 的 树 型 结构 进行 组 织 ,以 一 个 称 为 root 的 目录 为 起 点 ,整个 就 是 一 个 文件 系统 。UNIX 
中 的 每 个 用 户 都 有 一 个 唯一 的 用 户 名 和 UID( 用 户 ID 号 ) ,每 个 用 户 属于 一 个 或 多 个 组 。 
基本 分 组 成 员 在 /etc/passwd 中 定义 ,附加 的 分 组 成 员 在 /etc/group 中 定义 。 每 个 文件 和 
目录 有 三 组 权限 : 一 组 是 文件 的 拥有 者 ,一 组 是 文件 所 属 组 的 成 员 , 一 组 是 其 他 所 有 用 户 。 
在 所 有 文件 中 ,需要 注意 文件 的 SUID( 设 置 文件 所 有 者 ID 号 ) 位 和 SGID( 设 置 文件 所 在 组 
ID 号) 位 ,因为 一 些 攻击 者 常 利 用 这 些 文件 留 下 后 门 。 当 用 户 执行 一 个 SUID 文件 时 ,用 户 
ID 在 程序 运行 的 过 程 中 被 置 为 文件 拥有 者 的 用 户 ID. 如 果 文 件 属于 root, 则 用 户 就 成 为 超 





击 访 收 


计算 机 网 络 安 会 (第 3 版 ) 





级 用 户 。 同 样 , 当 一 个 用 户 执行 SGID 文件 时 ,用 户 的 组 被 置 为 文件 的 组 。UNIX 系统 实际 
上 有 两 种 类 型 的 用 户 ID: 实际 ID 和 有 效 ID。 实 际 ID 是 在 登录 过 程 中 建立 的 用 户 ID, 有 
效 ID 是 用 户 运 行进 程 时 的 有 效 权限 。 一 般 情况 下 , 当 一 个 用 户 执 行 一 条 命令 时 ,进程 继承 
了 用 户 登 录 Shell 的 权限 ,这 时 ,实际 ID 和 有 效 ID 是 相同 的 。 当 SUID 位 被 设置 时 ,进程 则 
继承 了 命令 所 有 者 的 权限 ,通过 创建 一 个 SUID 是 root 的 Shell 副本 ,攻击 者 可 以 借 此 建立 
后 门 。 因 此 ,系统 管理 员 应 定期 查看 系统 中 有 哪些 SUID 和 SGID 文件 。 

UNIX 早期 版 本 的 安全 性 能 很 差 , 仅 达到 TCSEC 的 Cl 安全 级 。 但 后 来 的 新 版 本 引进 
了 受 控 访问 环境 的 增强 特性 ,增加 了 审计 特性 ,进一步 限制 用 户 执行 某 些 系统 指令 ,其 中 审 
计 特 性 可 跟踪 所 有 的 “安全 事件 ”和 系统 管理 员 的 工作 ,从 而 使 UNIX 系统 达到 了 C2 安 
全 级 。 

2. UNIX 系统 漏洞 与 防范 

1) RPC 服务 缓冲 区 溢出 

远程 过 程 调用 (RPC) 是 SUN 公司 开发 的 用 于 在 远程 主机 上 执行 特定 任务 的 一 种 协 
议 。RPC 允许 一 台 计 算 机 上 的 程序 远程 执行 男 一 台 计 算 机 上 的 程序 。 它 被 广泛 用 来 提供 
网 络 远程 服务 ,如 NFS 文件 共享 等 。 但 由 于 代码 实现 的 问题 ,RPC 的 几 个 服务 进程 很 容易 
遭 到 远程 缓冲 区 溢出 的 攻击 。 因 为 RPC 不 能 进行 必要 的 错误 检查 ,所 以 缓冲 区 溢出 允许 攻 
击 者 发 送 程 序 不 支持 的 数据 ,使 这 些 数据 被 继续 传送 和 处 理 。 

采取 安装 补丁 程序 、 从 Internet 直接 访问 的 计算 机 上 关闭 或 删除 RPC 服务 、 关 闭 RPC 
的 oopback 端口 .关闭 路 由 器 或 防火 墙 中 的 RPC 端口 等 措施 可 避免 该 漏洞 被 攻击 。 

2) Sendmail 漏洞 

Sendmail 是 UNIX 上 用 得 最 多 的 用 于 发 送 、 接 收 和 转发 电子 邮件 的 程序 。Sendmail 在 
Internet 上 的 广泛 应 用 使 其 成 为 攻击 者 的 主要 目标 ,攻击 者 可 利用 Sendmail 存在 的 缺陷 进 
行 攻击 。 最 常见 的 攻击 是 攻击 者 发 送 一 封 特别 的 邮件 消息 给 运行 Sendmail 的 计算 机 ， 
Sendmail 会 根据 该 消息 要 求 被 攻击 的 计算 机 将 其 口令 文件 发 送 给 攻击 者 ,这 样 ,口令 就 会 
被 暴露 。 

可 通过 采取 更 新 Sendmail 为 最 新 版 本 、 及 时 下 载 或 更 新 补丁 程序 、 非 邮件 服务 器 或 代 
理 服务 器 不 要 在 daemon 模式 下 运行 Sendmail 等 措施 防范 Sendmail 攻击 。 

3) BIND 的 脆弱 性 

BIND 是 域名 服务 DNS 中 用 得 最 多 的 软件 包 。 它 存在 一 定 的 缺陷 ,攻击 者 可 利用 
BIND 缺陷 攻击 DNS 服务 器 ,如 删除 系统 日 志 、 安 装 软件 工具 以 获得 管理 员 权限 、 编 辑 安装 
IRC 工具 和 网 络 扫描 工具 、 扫 描 网 络 以 寻找 更 多 的 易 受 攻击 的 BIND 等 。 可 采取 以 下 措施 
防范 BIND 攻击 。 

(1) 在 所 有 非 DNS 服务 器 的 计算 机 上 ,取消 BIND 的 named; 

(2) 在 DNS 服务 器 的 计算 机 上 将 DNS 软件 升级 到 最 新 版 本 或 补丁 版 本 ; 

(3) 选择 部 分 补丁 程序 ,以 非特 权 用 户 的 身份 运行 BIND, 以 防止 远程 控制 攻击 。 

4) RR 命令 缺陷 

UNIX 系统 提供 了 R 系列 命令 (rsh、rcp、rlogin 和 rcmd) 和 相应 的 R 服务 功能 。UNIX 
管理 员 经 常 使 用 信任 关系 和 R 命令 ,从 一 个 系统 方便 地 切换 到 另 一 个 系统 。R 命令 允许 一 
个 人 登录 远程 计算 机 而 不 必 提 供 口令 ,远程 计算 机 不 用 询问 用 户 名 和 口令 ,而 认可 来 自 可 信 


赖 了 地址 的 任何 人 。 如 果 攻 击 者 获得 了 可 信赖 网 络 中 的 任何 一 台 计算 机 ,就 能 登录 到 任何 
信任 该 IP 的 计算 机 。 

采取 不 允许 以 IP 为 基础 的 信任 关系 、 不 使 用 R 命令 和 更 安全 的 认证 方式 等 措施 可 防 
范 R 命令 的 缺陷 。 

3. UNIX 的 主机 安全 性 

UNIX 系统 主机 的 安全 是 网 络 安全 的 重要 方面 ,攻击 者 往往 通过 控制 网 络 中 的 系统 主 
机 来 人 侵 信息 系统 和 人 穷 取 数 据 信息 ,或 通过 已 控制 的 系统 主机 来 扩大 已 有 的 破坏 行为 。 为 
UNIX 操作 系统 安全 制定 较 详 细 的 安全 性 原则 ,可 从 技术 层面 指导 用 户 对 主机 系统 进行 安 
全 设置 和 管理 ,从 而 使 信息 系统 的 安全 性 达到 一 个 更 高 的 层次 。 

UNIX 系统 安全 性 措施 包括 用 户 与 口令 安全 .文件 系统 安全 和 系统 配置 安全 等 。 

1) 用 户 与 口令 安全 性 

(1) 设置 /etc/passwd 文件 权限 为 400, 且 所 有 者 为 root。 因 为 /etc/passwd 文件 中 存 
放 着 系统 的 账号 信息 ,只 有 root 可 以 写 。 如 果 其 他 用 户 可 写 ,就 有 可 能 出 现 设置 后 门 、 提 升 
权限 .增删 用 户 等 问题 。 

(2) 设置 用 户 密码 。 空 密码 用 户 的 存在 将 增加 服务 器 被 人 侵 的 可 能 性 ,因此 要 为 每 个 
用 户 设 置 密码 。 密 码 要 有 一 定 的 长 度 , 要 大 小 写字 母 数字 和 符号 组 合 ,增加 密码 的 复杂 性 ， 
减少 密码 被 猜 中 的 可 能 性 。 

(3) 设置 账号 锁定 功能 。 攻 击 者 可 能 会 使 用 一 些 软件 工具 通过 重复 登录 来 穷 举 密码 ， 
锁定 账号 可 以 使 这 种 穷 举 密码 攻击 失效 。 

(4) 封闭 不 常用 的 账号 。bin sys .daemon adm ,lp ,tftp .nobody 等 账号 一 般 用 不 到 ,但 
有 可 能 被 攻击 者 利用 ,因此 可 将 这 些 无 用 账号 删除 。 

(5) 启用 审计 功能 。 审 计 功 能 可 为 管理 员 提 供用 户 登 录 、 用 户 操作 及 网 络 资源 的 使 用 
等 情况 ,因此 可 使 管理 员 很 清楚 服务 器 的 使 用 现状 。 

2) 文件 系统 安全 性 

(1) 设置 内 核 文件 的 所 有 者 为 root, 且 组 和 其 他 用 户 对 内 核 文件 不 可 写 ,防止 其 他 用 户 
修改 内 核 文件 。 

(2) 禁止 普通 用 户 运 行 crontab, 并 确保 /usr/lib/crontab 和 该 表 中 列 出 的 任何 程序 对 
任何 人 都 不 可 写 。 明 确 crontab 运行 脚本 中 的 路 径 和 不 安全 的 命令 ,因为 crontab 经 常会 被 
一 些 攻击 者 设置 后 门 ,所 以 要 和 弄 清楚 crontab 中 的 脚本 用 途 。 

(3) . netrc 文 件 中 不 能 包含 密码 信息 。ftp 命令 在 执行 时 会 去 寻找 一 个 文件 名 为 . netrc 
的 文件 ,如 果 此 文件 存在 且 其 中 有 ftp 命令 行 中 指定 的 主机 名 , 则 会 执行 . netrc 文件 中 的 命 
令 行 。 netrc 文件 中 存放 有 远程 主机 名 ,注册 用 户 名 、 用 户 密码 和 定义 的 宏 , 因 此 要 将 其 权限 
设置 为 0600 ,并 注意 不 包含 密码 信息 。 

(4) 对 一 些 开机 启动 的 文件 设置 正确 的 权限 ,因为 这 些 文件 很 容易 被 放置 木马 。 

(5) 将 文件 /etc/inetd. conf 和 /var/adm/inetd. sec 的 访问 权限 设置 为 0600, 并 且 所 有 
者 为 root。 这 样 可 以 使 这 些 服务 配置 文件 不 能 被 root 以 外 的 用 户 读 或 修改 。 

(6) 将 文件 /etc/services 设置 成 组 和 其 他 用 户 不 可 读 。 

(7) 将 所 有 人 可 以 写 和 执行 的 文件 重新 设置 权限 ,把 无 用 户 文件 重新 设置 为 用 户 权限 。 
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3) 系统 配置 安全 性 

(1) 禁止 root 远程 Telnet 登录 和 FTP。Telnet 和 FTP 使 用 明文 方式 传输 用 户 名 和 密 
码 , 很 容易 被 窃听 。 因 此 ,禁止 root 远程 Telnet 登录 和 FTP, 可 减少 root 密码 被 窃取 的 
可 能 。 

(2) 禁止 匿名 FTP。 匿 名 FTP 不 需要 账号 密码 就 可 执行 FTP 操作 。 因 此 ,匿名 FTP 
中 可 能 会 被 人 放置 一 些 攻击 文件 和 木马 ,也 可 能 窃取 一 些 系 统 资 料 。 

(3) 在 非 邮件 服务 器 上 禁止 运行 Sendmail。Sendmail 存在 较 多 的 安全 漏洞 , 且 它 是 以 
root 用 户 权限 运行 的 ,如 果 发 生 缓 冲 区 溢出 ,就 会 被 攻击 者 获得 root 权限 。 

(4) snmp 密码 不 要 设置 为 默认 的 public 和 private。 因 为 使 用 默认 密码 可 使 攻击 者 得 
到 很 多 系统 的 信息 ,甚至 可 以 控制 系统 ,所 以 尽量 将 snmp 的 密码 重新 设置 。 

(5) 尽量 不 运行 NFS server。NFS 提供 不 同 机 器 间 文 件 的 共享 ,大 部 分 系统 的 NFS 服 
务 默认 情况 下 设 定 文件 共享 是 可 读 写 的 ,而 且 对 访问 的 机 器 没有 限制 ,所 以 很 容易 泄露 和 被 
删改 。 

(6) 关闭 潜在 的 危险 服务 。Echo chargen rpc finger 等 服务 并 不 是 很 重要 的 ,但 对 于 
攻击 者 ,它们 可 以 提供 系统 信息 ,或 可 对 它们 进行 各 种 溢出 攻击 ,有 的 可 能 直接 获取 root 权 
限 。 因 此 在 不 必要 时 要 尽量 关闭 这 些 服务 。 

(7) 禁止 非 路 由 器 设备 转发 数据 包 。 可 以 防止 黑客 使 用 DoS( 拒 绝 服务 ) 攻 击 ,也 可 避 
免 黑客 利用 该 设备 去 DoS 攻击 其 他 服务 器 。 

(8) 为 系统 打 最 新 补丁 。 系 统管 理 员 要 随时 浏览 安全 网 站 信息 ,下 载 最 新 补丁 程序 来 
弥补 各 种 系统 漏洞 。 


2.2.4 Linux 系统 安全 


Linux 是 一 种 类 似 于 UNIX 操作 系统 的 自由 软件 ,是 一 种 与 UNIX 系统 兼容 的 新 型 网 
络 操作 系统 。Linux 的 安全 级 已 达到 TCSEC 的 C2 级 ,一 些 版 本 达到 了 更 高 级 别 。Linux 
的 一 些 安全 机 制 已 被 标准 所 接纳 。Linux 系统 具有 如 下 安全 措施 。 

1. 身份 验证 机 制 

在 Linux 系统 中 ,用 户 的 身份 验证 和 用 户 权 限 是 分 开设 计 的 ,因此 用 户 的 身份 验证 就 比 
较 简单 。Linux 身份 验证 系统 最 基本 的 实现 方式 是 Linux login 程序 ,不 过 其 他 各 应 用 程序 
也 一 样 要 通过 身份 验证 来 确定 用 户 身 份 。 

Linux 系统 采用 的 最 基本 的 验证 体系 有 /password/shadow 体系 和 PAM 体系 。 

(1) /password/shadow 身份 验证 体系 是 最 简单 也 是 最 基本 的 , 即 利用 口令 进行 身份 验 
证 。 系 统 将 用 户 输入 的 口令 与 系统 预 设 的 口令 相 比 较 , 若 一 致 , 用 户 即 可 进入 系统 。 

(2) PAM 是 安全 验证 模块 体系 ,只 有 在 编程 时 选择 了 PAM 库 支 持 , 才 能 使 用 PAM 验 
证 。 在 这 种 情况 下 ,程序 调用 PAM 运行 库 ,运行 库 则 根据 当前 的 PAM 系统 管理 进行 具体 
的 验证 过 程 ,使 得 整个 验证 过 程 可 以 添加 或 删除 特定 的 功能 ,从 系统 核心 中 分 离 出 来 。 
PAM 验证 体系 是 由 一 组 模块 组 成 的 ,可 以 在 一 个 PAM 验证 过 程 中 使 用 多 种 验证 模块 ,后 
面 的 验证 过 程 的 执行 依赖 于 前 面 的 验证 结果 。PAM 验证 体系 的 功能 有 加 密 口 令 、 用 户 使 
用 资源 控制 限制 用 户 入 网 的 时 间 和 地 点 ,支持 C/S 中 的 机 器 认证 等 。 


2. 用 户 权限 体系 

Linux 系统 的 用 户 权 限 体系 包括 用 户 权 限 、 超 级 用 户 权 限 和 SUID 机 制 。 

(1) 用 户 权限 。Linux 使 用 标准 的 UNIX 文件 权限 体系 来 实现 Linux 的 基本 用 户 隔离 
和 存 取 授 权 功 能 。Linux 系统 中 的 每 个 文件 都 有 一 个 属 主 用 户 user 和 一 个 属 主 程序 组 
group, 除 此 之 外 的 用 户 都 作为 其 他 用 户 other。 因 此 ,每 个 文件 都 存在 三 种 存 取 权限 , 即 用 
户 访 问 权限 、 组 访问 权限 和 其 他 用 户 访 问 权限 。 

(2) 超级 用 户 权 限 。 超 级 用 户 root 作为 系统 管理 者 ,其 权限 很 大 ,可 以 访问 任何 文件 并 
对 其 进行 读 写 操作 。 通 常 说 的 人 侵 Linux 系统 ,主要 就 是 指 获得 root 权限 ,例如 知道 root 
密码 或 获取 一 个 具有 root 权限 的 shell。 

(3) SUID 机 制 。SUID 机 制 就 是 在 权限 组 中 增加 SUID 和 SGID 位 。 凡 是 SUID 位 被 
置 “1” 的 文件 , 当 它 被 执行 时 会 自动 获得 文件 属 主 的 UID; 同样 , 当 SGID 位 被 置 位 时 ,也 能 
自动 获得 文件 属 组 的 GID。 

3. 文件 加 密 机 制 

加 密 技 术 在 现代 计算 机 系统 中 扮演 着 越 来 越 重 要 的 角色 。 文 件 加 密 机 制 就 是 将 加 密 服 
务 引 入 文件 系统 ,从 而 提高 计算 机 系统 的 安全 性 。 文 件 加 密 机 制 可 防止 磁盘 信息 被 盗窃 、 未 
授权 的 访问 和 信息 的 不 完整 等 。 

Linux 已 有 多 种 加 密 文件 系统 ,如 CFS、TCFS、CRYPTFS, 较 有 代表 性 的 是 TCFS 
(Transparent Cryptographic File System)。TCFS 通过 将 加 密 服 务 和 文件 系统 紧密 结合 ， 
使 用 户 感觉 不 到 文件 的 加 密 过 程 。TCFS 不 修改 文件 系统 的 数据 结构 ,备份 ,修复 以 及 用 户 
访问 保密 文件 的 语义 也 不 变 。TCEFS 可 使 保密 文件 对 合法 拥有 者 以 外 的 用 户 、 对 用 户 与 远 
程 文件 系统 通信 线路 上 的 偷 听 者 ,以 及 对 文件 系统 服务 器 的 超级 用 户 都 不 可 读 。 而 对 于 合 
法 用 户 ,访问 保密 文件 与 访问 普通 文件 没有 区 别 。 

4. 安全 系统 日 志和 审计 机 制 

即使 网 络 采取 了 多 种 安全 措施 ,还 是 会 存在 一 些 漏洞 。 攻 击 者 在 漏洞 修补 之 前 会 抓 住 
机 会 攻击 更 多 的 机 器 。Linux 系统 具有 安全 审计 功能 , 它 可 对 网 络 安全 进行 检测 ,利用 系统 
日 志 记 录 攻 击 者 的 行踪 。 

日 志 就 是 对 系统 行为 的 记录 , 它 可 记录 用 户 的 登录 /退出 时 间 ,用户 执 行 的 命令 ,以 及 系 
统 发 生 的 错误 等 。 日 志 是 Linux 安全 结构 中 的 重要 内 容 , 它 能 提供 攻击 发 生 的 唯一 真实 证 
据 。 在 检查 网 络 人 侵 者 时 ,日 志 信息 是 不 可 缺少 的 。 在 标准 的 Linux 系统 中 ,操作 系统 维护 
三 种 基本 日 志 , 即 连接 时 间 日 志 、 进 程 记 账 日 志和 Syslog 日 志 。 

连接 时 间 日 志 用 来 记录 用 户 的 登录 信息 。 这 是 最 基本 的 日 志 系 统 , 管 理 员 可 以 利用 它 
来 记录 哪些 用 户 在 什么 时 间 进 入 系统 。 

进程 记 账 日 志 用 来 记录 系统 执行 的 进程 信息 ,如 某 进 程 消 耗 了 多 少 CPU 时 间 等 。 

Syslog 日 志 不 由 系统 内 核 维护 ,而 是 由 syslogd 或 其 他 一 些 相关 程序 完成 。 它 是 各 种 
程序 对 运行 中 发 生 的 事件 的 处 理 代码 。 

除 以 上 安全 机 制 外 ,Linux 系统 还 采取 了 很 多 具体 安全 措施 ,如 提升 系统 的 安全 级 别 
(将 系统 的 安全 级 别 从 C2 级 提升 到 Bl 级 或 B2 级 )、SSH 安全 工具 、 虚 拟 专用 网 (VPN) 等 。 

5. 强制 访问 控制 

强制 访问 控制 (MAC) 是 一 种 由 管理 员 从 全 系统 角度 定义 和 实施 的 访问 控制 。 它 通过 
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标记 系统 中 的 主客 体 , 强 制 性 地 限制 信息 的 共享 和 流动 ,使 不 同 的 用 户 只 能 访问 与 其 有 关 
的 、 指 定 范 围 的 信息 ,从 根本 上 防止 信息 泄露 和 访问 混乱 的 现象 。 

由 于 Linux 是 一 种 自由 式 操作 系统 ,因此 在 其 系统 上 实现 的 强制 访问 也 有 多 种 形式 , 比 
较 典 型 的 有 SELinux 和 RSBAC. 采 用 的 策略 也 各 不 相同 。 

SELinux 是 一 种 安全 体系 结构 ,在 该 结构 中 ,安全 性 策略 的 逻辑 和 通用 接口 一 起 封装 在 
与 操作 系统 独立 的 被 称 为 安全 服务 器 的 组 件 中 。SELinux 安全 服务 器 定义 了 一 种 由 类 型 实 
施 (TE) 、 基 于 角色 的 访问 控制 (RBAC) 和 多 级 安全 (MLS) 组 成 的 混合 安全 策略 。 通 过 替换 
安全 服务 器 ,可 以 支持 不 同 的 安全 策略 。 

RSBAC( 基 于 规则 集 的 访问 控制 ) 是 根据 一 种 访问 控制 通用 架构 (GFAC) 模 型 开发 的 ， 
它 可 以 基于 多 个 模块 提供 灵活 的 访问 控制 。 所 有 与 安全 相关 的 系统 调用 都 扩展 了 安全 实施 
代码 。 这 些 代码 调用 中 央 决 策 部 件 , 该 部 件 随后 调用 所 有 被 激活 的 决策 模块 ,形成 一 个 综合 
决定 ,然后 由 系统 调用 扩展 来 实施 该 决定 。 

6，Linux 安全 工具 

网 络 上 有 各 种 各 样 的 攻击 工具 ,也 有 各 种 各 样 的 安全 工具 。 以 下 介绍 的 是 Linux 系统 
中 的 安全 工具 。 与 Linux 本 身 类 似 , 这 些 安全 工具 大 多 也 是 开放 源 代码 的 自由 软件 ,恰当 地 
使 用 它们 ,可 提高 系统 的 安全 性 。 

1) tcpserver 

tcpserver 是 一 个 inetd 类 型 的 服务 程序 ,可 监听 进入 连接 的 请 求 ,为 要 启动 的 服务 设置 
各 种 环境 变量 ,然后 启动 指定 的 服务 。tcpserver 可 限制 同时 连接 一 个 服务 的 数量 。 

2) xinetd 

xinetd 具有 可 支持 TCP、UDP、RPC 服务 ,基于 时 间 段 的 访问 控制 ,具有 完备 的 log 功 
能 ,可 有 效 地 防止 DoS 攻击 ,可 限制 同时 运行 的 同类 服务 器 的 数目 ,可 限制 启动 的 服务 数 
目 ,可 作为 其 他 系统 的 代理 ,可 在 特定 端口 绑 定 某 项 服务 而 实现 只 允许 私有 网 络 访问 该 服务 

3) sudo 

sudo 是 一 个 允许 系统 管理 员 给 予 特定 的 普通 用 户 ( 或 用 户 组 ) 有 限 的 超级 用 户 特权 ,使 
其 能 够 以 超级 用 户 或 其 他 用 户 的 身份 运行 命令 并 记录 其 所 有 命令 和 参数 的 程序 。 最 基本 的 
原则 是 在 普通 用 户 可 以 完成 工作 的 范围 内 ,给 予 尽 可 能 少 的 特权 。sudo 具有 的 特性 有 : 可 
以 限制 用 户 在 每 个 主机 上 运行 的 命令 ; 可 对 每 个 命令 都 进行 记录 ,以 便 清楚 地 审核 每 个 用 
户 做 了 什么 ; 可 为 “通行 证 系统 ”提供 标记 日 期 的 文件 。 

4) 安全 检查 工具 nessus 

nessus 是 一 个 远程 安全 扫描 器 。 它 是 自由 软件 ,具有 功能 强大 、 更 新 快 、 易 于 使 用 等 特 
点 。 安 全 扫描 器 的 功能 有 : 对 指定 的 网 络 进行 安全 检查 和 弱点 分 析 , 确 定 是否 有 攻击 者 入 
侵 或 是 否 存 在 某 种 方式 的 误 用 ,寻找 导致 对 手 攻击 的 安全 漏洞 等 。 

5) 监听 工具 sniffit 

sniffit 是 可 在 Linux 平台 上 运行 的 网 络 监听 软件 , 它 主要 用 来 监听 运行 TCP/IP 协议 
的 计算 机 ,以 发 现 其 不 安全 性 。 因 为 数据 包 必 须 经 过 运行 sniffit 的 计算 机 才能 进行 监听 ,所 
以 它 只 能 监听 同一 个 网 段 上 的 计算 机 。 可 以 为 其 增加 某 些 插 件 以 实现 额外 功能 。 还 可 以 配 
置 sniffit 在 后 台 运 行 ,以 检测 TCP/IP 端口 上 用 户 的 输入 /输出 信息 。 





6) 扫描 工具 nmap 

nmap(Network Mapper) 是 开放 源码 的 网 络 探测 和 安全 扫描 工具 。 它 主要 用 来 快速 扫 
描 大 型 网 络 , 但 在 单机 上 也 能 很 好 地 工作 。nmap 可 以 查找 到 网 络 上 有 哪些 主机 ,它们 提供 
什么 服务 (端口 ) ,运行 什么 操作 系统 ,过 滤 防 火 墙 使 用 哪些 类 型 的 数据 包 等 。 


2.2.5 Android 系统 安全 


Android 是 一 个 开源 的 移动 平台 操作 系统 ,主要 用 于 移动 设备 。 作 为 一 个 运行 于 实际 
应 用 环境 中 的 终端 操作 系统 ,Android 操作 系统 在 其 体系 结构 设计 和 功能 模块 设计 上 就 将 
系统 的 安全 性 考虑 其 中 。Android 是 一 个 支持 多 任务 的 系统 ,其 安全 机 制 依托 于 数字 签名 
和 权限 ,系统 中 的 应 用 程序 之 间 一 般 是 不 可 以 互相 访问 的 ,每 一 个 应 用 程序 都 有 独立 的 进程 
空间 。 

Android 系统 本 身 具有 一 套 比 较 完善 的 安全 机 制 ,正常 情况 下 可 以 有 效 地 保护 系统 的 
安全 使 其 不 受 侵害 。Android 的 安全 机 制 是 在 Linux 安全 机 制 的 基础 上 发 展 和 创新 的 ,是 
传统 的 Linux 安全 机 制 和 Android 特有 的 安全 机 制 的 共同 发 展 。 

1. 用 户 ID 

Android 系统 是 基于 Linux 内 核 的 ,对 应 用 程序 文件 和 系统 文件 的 访问 都 遵循 Linux 
的 许可 机 制 , 并 将 这 种 机 制 用 于 管理 应 用 程序 。 在 Android 应 用 程序 安装 成 功 后 ,系统 就 为 
其 指定 了 一 个 唯一 的 用 户 名 ,对 应 着 系统 中 唯一 的 用 户 标 识 (UID) ,每 个 用 户 可 以 属于 一 个 
或 者 多 个 组 。 如 果 在 应 用 程序 执行 期 间 有 越轨 或 超越 权限 的 操作 行为 发 生 , 那 么 用 户 将 会 
收 到 Android 的 警告 信息 。 

通常 ,只 有 UID 是 system 或 root 的 用 户 才 拥 有 Android 系统 文件 的 访问 权限 ,而 任何 
一 个 应 用 程序 在 使 用 Android 受 限 资源 之 前 都 必须 向 Android 系统 提出 申请 ,等 待 
Android 系统 批准 后 方 可 使 用 相应 的 资源 。 

2. 应 用 程序 数字 签名 

数字 签名 是 通过 某 种 密码 运算 生成 一 系列 符号 及 代码 组 成 电子 密码 进行 签名 ,以 代替 
书写 签名 或 印章 。 签 名 的 主要 作用 是 身份 认证 、 完 整 性 验证 和 建立 信任 关系 。Android 系 
统 安装 的 应 用 程序 都 进行 了 签名 , 即 所 有 安装 到 Android 系统 中 的 应 用 程序 都 必须 拥有 一 
个 数字 证 书 , 此 数字 证 书 用 于 标识 应 用 程序 的 作者 和 应 用 程序 之 间 的 信任 关系 。 如 果 一 个 
权限 的 保护 级 别 为 signature 或 system,Android 系统 会 将 该 权限 授予 具有 相同 数字 签名 的 
应 用 程序 或 Android 包 类 。 

3. Permission 机 制 

Android 是 一 个 权限 分 离 系统 , 它 利 用 Linux 已 有 的 权限 管理 机 制 , 为 每 一 个 应 用 程序 
分 配 不 同 的 UID 和 GID, 使 不 同 的 应 用 程序 之 间 的 私有 数据 和 访问 达到 隔离 的 目的 。 如 果 
使 不 同 的 应 用 程序 之 间 的 私有 数据 和 访问 达到 共享 ,就 需要 声明 对 应 的 权限 。 为 此 ， 
Android 在 原 有 的 基础 上 进行 了 扩展 ,提供 了 permission 机 制 , 它 主要 是 用 来 对 应 用 程序 可 
执行 的 某 些 具体 操作 进行 权限 细 分 和 访问 控制 。 在 manifest 文件 中 添加 一 个 permission 
标签 ,就 定义 了 一 个 permission。 另 外 ,Android 为 了 对 某 些 特定 的 数据 块 进行 ad-hoc 方式 
的 访问 ,还 提供 了 perURI permission 机 制 。 
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4. 沙 箱 隔 离 

Android 引入 沙 箱 的 概念 来 实现 应 用 程序 之 间 的 分 离 , 具 有 人 允许 或 拒绝 一 个 应 用 程序 
访问 另 一 个 应 用 程序 资源 的 权限 。 其 本 质 是 为 了 实现 不 同 应 用 程序 和 进程 之 间 的 互相 隔 
离 , 即 在 默认 情况 下 ,应 用 程序 没有 权限 访问 系统 资源 或 其 他 应 用 程序 的 资源 。Android 使 
用 内 核 层 Linux 的 自主 访问 控制 机 制 和 运行 时 的 Dalvik 虚拟 机 来 实现 Android 的 “ 沙 箱 ” 
机 制 。 


2.2.6 iPhone 操作 系统 安全 


由 于 Apple 公司 对 iPhone 操作 系统 (iOS) 采 取 闭 源 策 略 ,使 得 研究 人 员 对 其 安全 机 制 
的 深入 了 解 变 得 十 分 困难 。 经 过 多 年 研究 ,一 些 安全 研究 人 员 给 出 了 iOS 的 安全 机 制 、 安 
全 模型 和 一 些 数据 保护 机 制 的 细节 。 但 这 些 研 究 一 方面 只 能 通过 逆向 分 析 等 方法 ,难以 获 
取 iOS 内 部 的 所 有 细节 。 另 一 方面 , 随 着 iOS 的 不 断 升 级 和 更 新 ,研究 者 难以 在 短 时 间 内 
掌握 其 改进 和 新 机 制 的 细节 。 同 时 ,iOS 安全 研究 的 另 一 大 特点 就 是 黑客 社区 所 做 的 研究 
和 贡献 更 为 突出 。 每 次 iOS 的 升级 以 及 硬件 设备 的 更 新 都 伴随 着 一 场 对 iOS 越狱 的 研究 
高 潮 。iOS 越狱 技术 的 研究 者 对 iOS 安全 机 制 有 着 更 为 深入 的 了 解 和 实践 。 这 些 研究 者 以 
开放 的 精神 和 坚持 不 懈 的 努力 突破 Apple 公司 为 iOS 设置 的 重重 柳 锁 ,不 仅 为 其 他 研究 者 
提供 了 大 量 的 技术 资料 和 源码 ,也 使 得 iOS 的 安全 性 在 攻防 双方 的 较量 中 不 断 提 升 。 

iOS 是 一 个 封闭 的 系统 ,在 iOS 应 用 的 开发 中 ,开发 者 需要 遵循 Apple 公司 为 其 设 定 的 
开发 者 协议 ,没有 遵循 规定 协议 而 开发 的 应 用 不 会 通过 App Store 审核 ,这样 就 使 得 开发 者 
在 开发 应 用 时 必须 遵守 一 定 的 协议 ,没有 权限 操作 任何 非 本 程序 目录 下 的 内 容 。 

归纳 起 来 ,iOS 有 如 下 安全 机 制 。 

1. 可 信 引 导 

打开 iOS 设备 后 ,其 应 用 程序 处 理 器 会 立即 执行 只 读 内 存 (Boot ROM) 中 的 代码 。 这 
些 不 可 更 改 的 代码 ( 称 为 硬件 的 信任 根 ) 是 在 制造 芯片 时 设置 好 的 ,为 隐 式 受信 任 代 码 。 
Boot ROM 代码 包含 Apple 根 CA 公 钥 ,该 公 钥 用 于 验证 底层 引导 加 载 程序 (LLB) 是 否 经 
过 Apple 签名 ,以 决定 是 否 允 许 其 加 载 。 这 是 信任 链 中 的 第 一 步 ,信任 链 中 的 每 个 步骤 都 
确保 下 一 步骤 可 以 获得 Apple 的 签名 。 当 LLB 完成 其 任务 后 , 它 会 验证 并 运行 下 一 阶段 的 
引导 加 载 程序 iBoot, 后 者 又 会 验证 并 运行 iOS 内 核 。 此 安全 启动 链 有 助 于 确保 底层 的 软件 
未 被 算 改 ,并 只 允许 iOS 运行 在 经 过 验证 的 Apple 设备 上 。 对 于 可 接 入 蜂窝 移动 网 络 的 设 
备 ,基带 子 系统 也 使 用 类 似 的 安全 启动 过 程 ,包括 已 签名 的 软件 以 及 由 基带 处 理 器 验证 的 密 
钥 。 如 果 该 启动 过 程 中 某 个 步骤 无 法 加 载 或 验证 下 一 过 程 , 启 动 过 程 会 停止 ,设备 屏幕 会 显 
示 “ 连 接 到 iTunes”, 这 就 是 所 谓 的 恢复 模式 。 如 果 Boot ROM 无 法 加 载 或 验证 LLB, 它 会 
进入 DFU( 设 备 固 件 升 级 ) 模 式 。 

2. 代码 签名 

可 信 引 导 机 制 保证 了 系统 加 载 过 程 中 各 个 阶段 数据 的 完整 性 ,而 代码 签名 机 制 则 保证 
了 所 有 在 iOS 中 运行 程序 的 数据 完整 性 。Apple 公司 不 希望 用 户 安 装 未 被 其 审核 的 第 三 方 
应 用 程序 。 一般 开 发 者 开发 的 程序 在 使 用 Apple 公司 颁发 的 证 书 进行 签名 以 后 , 提交 到 
App Store, 再 由 Apple 公司 进行 审核 。 审 核 成 功 后 .Apple 公司 使 用 其 私 钥 对 程序 进行 签 
名 。 用 户 从 App Store 上 下 载 安装 程序 时 ,iOS 调用 系统 进程 对 应 用 程序 进行 证 书 校 验 。 


代码 签名 机 制 使 得 在 iOS 设备 上 运行 的 代码 是 可 控 的 ,并 且 Apple 公司 严格 的 审核 机 
制 也 使 得 iOS 系统 上 的 恶意 软件 数量 远 远 小 于 开放 的 Android 系统 。 

3. 沙 盒 机 制 

iOS 中 的 沙 盒 机 制 (SandBox) 是 一 种 安全 体系 , 它 规定 了 应 用 程序 只 能 在 为 其 创建 的 
文件 夹 内 读 取 文件 ,而 不 可 以 访问 其 他 地 方 的 内 容 。 所 有 的 非 代码 文件 (如 图 片 . 声 音 、 属 性 
列表 和 文本 文件 等 ) 都 保存 在 这 个 地 方 。iOS 沙 盒 的 实质 是 一 个 基于 TrustBSD 策略 框架 
的 内 核 扩展 模块 访问 控制 体系 ,其 应 用 程序 的 所 有 操作 都 要 通过 这 个 体系 来 执行 ,其 中 核心 
内 容 是 SandBox 对 应 用 程序 执行 各 种 操作 的 权限 限制 。 每 个 应 用 程序 都 在 自己 的 沙 盒 内 ， 
不 能 随意 跨越 自己 的 沙 盒 去 访问 别 的 应 用 程序 沙 盒 的 内 容 , 应 用 程序 向 外 请 求 或 接收 数据 
都 需要 经 过 权限 认证 。 

沙 盒 机 制 的 使 用 使 得 程序 的 行为 得 到 了 控制 ,强制 隔离 了 应 用 程序 ,并 保护 了 应 用 程序 
数据 和 底层 操作 系统 数据 不 被 恶意 修改 。 

4. 数据 加 密 

iOS 4 及 以 后 的 系统 使 用 数据 加 密 机 制 来 保护 文件 系统 中 的 系统 和 数据 分 区 。 系 统 和 
数据 分 区 中 的 数据 将 由 一 个 基于 硬件 设备 的 密 钥 进行 加 密 。 在 iPhone 3GS 以 后 的 设备 上 ， 
该 密 钥 存储 于 一 个 AES( 高 级 加 密 标准 ) 加 密 加 速 硬 件 上 。 这 个 基于 硬件 的 密 钥 不 能 被 
CPU 所 访问 ,只 有 在 加 解密 时 才能 由 该 加 速 器 获取 。 通 过 这 种 机 制 , 直 接 从 硬盘 上 被 取 走 
的 原始 数据 就 无 法 被 正确 解密 。 同 时 ,数据 加 密 机 制 还 提供 了 多 种 加 密 策略 供应 用 程序 选 
择 。 应 用 程序 可 以 选择 对 一 些 敏感 文件 使 用 NSFileProtectionComplete(NS 文件 完整 保 
护 ) 策 略 而 不 是 默认 的 NSFileProtectionNone(NS 文 件 无 保护 ) 策 略 加 密 数 据 。iOS 开发 中 
应 用 最 广泛 的 数据 加 密 方式 就 是 MD5 加 密 ,由 于 其 加 密 的 不 可 道 性 ,经 常用 于 用 户 数据 的 
加 密 。MD5 的 典型 应 用 是 对 一 段 信息 (Message) 产 生 信息 摘要 (MD) ,以 防止 该 信息 被 

5. 内 置 安 全 性 

iOS 可 为 用 户 提供 内 置 的 安全 性 。iOS 专门 设计 了 低层 级 的 硬件 和 固件 功能 ,用 以 防 
止 恶意 软件 和 病毒 ;同时 还 设计 有 高 层级 的 操作 系统 功能 ,有 助 于 在 访问 个 人 信息 和 企业 
数据 时 确保 安全 性 。 用 户 可 以 设置 密码 锁 , 以 防止 有 人 未 经 授权 访问 其 设备 ,并 进行 相关 配 
置 , 允 许 设 备 在 多 次 尝试 输入 密码 失败 后 删除 所 有 数据 。 该 密码 还 会 为 存储 的 邮件 自动 加 
密 和 提供 保护 ,并 能 允许 第 三 方 APP 为 其 存储 的 数据 加 密 。iOS 支持 加 密 网 络 通信 , 它 可 
供 APP 用 于 保护 传输 过 程 中 的 敏感 信息 。 如 果 iPhone 设备 丢失 或 失窃 ,可 以 利用 “查找 我 
的 iPhone” 功能 在 地 图 上 定位 设备 ,并 远程 擦 除 所 有 数据 。 一 旦 iPhone 设备 失而复得 ,还 能 
恢复 上 一 次 备份 过 的 全 部 数据 。 


习题 和 思考 题 
-、 简 答题 
1. 常用 的 网 络 操作 系统 有 哪些 ? 
2. 何 为 系统 漏洞 补丁 ”其 作用 是 什么 ? 
3. 如 何 设置 用 户 的 账户 策略 ? 


网 络 把 人 系统 安 全 


震 访 收 
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4. 网 络 操 作 系 统 有 哪些 安全 机 制 ? 
5. 如 何 设置 用 户 的 密码 策略 ? 
6. Windows Server 2008 系统 有 哪些 新 功能 ? 
7. Android 系统 有 哪些 特点 ? 
8. iPhone 操作 系统 iOS 的 应 用 功能 有 哪些 ? 
二 、 填空 题 
1. Windows Server 2008 R2 家 族 的 主要 版 本 有 ( Dt yak ) 和 Windows 
Server 2008 R2 Datacenter( 数 据 中 心 ) 。 
2. 网 络 访问 控制 可 分 为 ( ) 和 ( ) 两 大 类 。 
3 ) 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访问 对 象 进行 访问 ,并 可 将 对 这 些 对 
象 的 访问 权 授予 其 他 用 户 或 从 被 授予 权限 的 用 户 处 收回 其 访问 权限 。 
4. 常用 的 身份 验证 方法 有 用 户 名 和 口令 验证 、( yak )、 用 户 的 生理 特征 验证 
和 ( Fe 
5. 硬件 安全 是 网 络 操作 系统 安全 的 ( js 
6. 安全 审计 可 以 检查 系统 的 ( ) ,并 对 事故 进行 记录 。 
7. 补丁 程序 是 ( ) 小 程序 。 
8. 安装 补丁 程序 的 方法 通常 有 ( ) 和 手工 操作 。 
三 、 单 项 选择 题 
1. 网 络 访问 控制 可 分 为 自主 访问 控制 和 强制 访问 控制 两 大 类 。(1) 是 指 由 系统 对 用 户 
所 创建 的 对 象 进行 统一 的 限制 性 规定 。(2) 是 指 由 系统 提供 用 户 有 权 对 自身 所 创建 的 访问 
对 象 进行 访问 ,并 可 将 对 这 些 对 象 的 访问 权 授 予 其 他 用 户 和 从 授予 权限 的 用 户 处 收回 其 访 
问 权 限 。 用 户 名 /口令 、 权 限 安全 、 属 性 安全 等 都 属于 (3)。 
(1) A. 服务器 安全 控制 ”B. 检测 和 锁定 控制 C. 自主 访问 控制 ”D. 强制 访问 控制 
(2) A. 服务 器 安全 控制 ”B. 检测 和 锁定 控制 ”C. 自主 访问 控制 ”D. 强制 访问 控制 
(3) A. 服务 器 安全 控制 ”B. 检测 和 锁定 控制 C. 自主 访问 控制 ”D. 强制 访问 控制 
2. 运行 ( ) 程 序 可 进入 组 策略 编辑 器 进行 系统 安全 设置 。 
A. gpedit. msc B. regedit C. mme D. config 
3. 进入 ( ) 后 可 修改 系统 默认 的 TTL 值 。 
A. 组 策略 编辑 器 。 B. 注册 表 编 辑 器  C. 计算 机 管理 D. 控制 台 
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本 章 要 点 

。 网 络 硬 件 系统 的 宛 余 ; 

。 网 络 机 房 设施 与 环境 安全 ; 
。 路 由 器 安全 ; 

。 交换 机 安全 ; 

。 网 络 服务 器 和 客户 机 安全 。 


计算 机 网 络 实体 是 网 络 系统 的 核心 , 它 既 是 对 数据 进行 加 工 处 理 的 中 心 ,也 是 信息 传输 
控制 的 中 心 。 计 算 机 网 络 实体 包括 网 络 系统 的 硬件 实体 .软件 实体 和 数据 资源 。 因 此 ,保证 
计算 机 网 络 实体 安全 ,就 是 保证 网 络 的 硬件 和 环境 、 存 储 介 质 ,软件 和 数据 的 安全 。 

很 多 行业 和 企业 用 户 对 网 络 系统 的 实时 性 要 求 都 很 高 ,他 们 的 网 络 系统 是 不 允许 出 现 
故障 的 ,一 旦 出 现 故障 , 将 带 来 非常 巨大 的 经 济 损失 和 社会 影响 。 但 网 络 系统 涉及 的 环节 非 
常 多 ,任何 一 个 环节 都 有 可 能 出 现 问题 ,一 旦 某 个 环节 出 现 问题 ,可 能 会 导致 整个 网 络 系统 
停止 工作 。 因 此 ,必须 加 强 对 网 络 系统 硬件 设备 和 软件 设备 的 使 用 管理 ,坚持 做 好 网 络 系统 
的 日 常 维护 和 保养 工作 。 

本 章 介 绍 网 络 硬件 系统 的 元 余 、 网 络 机 房 设施 与 环境 安全 、 路 由 器 安全 交换机 安全 、 服 
务 器 和 客户 机 安全 等 内 容 。 


3.1 网 络 硬件 系统 的 元 余 


如 果 在 网 络 系统 中 有 一 些 后 援 设备 或 后 备 技术 等 措施 ,在 系统 中 某 个 环节 出 现 故障 时 ， 
这 些 后 援 设备 或 后 备 技术 能 够 “站 出 来 "承担 任务 ,使 系统 能 够 正常 运行 下 去 。 这 些 能 提高 
系统 可 靠 性 、 确 保 系统 正常 工作 的 后 援 设备 或 后 备 技 术 就 是 元 余 设施 。 


3.1.1 网 络 系统 的 元 余 


系统 匈 余 就 是 重复 配置 系统 的 一 些 部 件 。 当 系统 某 些 部 件 发 生 故 障 时 , 宛 余 配置 的 其 
他 部 件 介入 并 承担 故障 部 件 的 工作 ,由 此 提高 系统 的 可 靠 性 。 也 就 是 说 ,元 余 是 将 相同 的 功 
能 设计 在 两 个 或 两 个 以 上 设备 中 ,如 果 一 个 设备 有 问题 ,另外 一 个 设备 就 会 自动 承担 起 正常 
工作 。 

元 余 就 是 利用 系统 的 并 联 模 型 来 提高 系统 可 靠 性 的 一 种 手段 。 采 用 “元 余 技 术 ” 是 实现 
网 络 系统 容错 的 主要 手段 。 
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宛 余 主要 有 工作 元 余 和 后 备 宛 余 两 大 类 。 工 作 宛 余 是 一 种 两 个 或 两 个 以 上 的 单元 并 行 
工作 的 并 联 模型 ,平时 由 各 处 单元 平均 负担 工作 ,因此 工作 能 力 有 宛 余 ; 后 备 宛 余 是 平时 只 
需 一 个 单元 工作 , 另 一 个 单元 是 储备 的 ,用 于 待机 备用 。 

从 设备 元 余 角 度 看 ,按照 元 余 设备 在 系统 中 所 处 的 位 置 , 宛 余 又 可 分 为 元 件 级 .部 件 级 
和 系统 级 ; 按照 元 余 设备 的 配备 程度 又 可 分 为 1 : 1 宛 余 .1 :2 宛 余 .1:n 宛 余 等 。 在 当前 
元 器 件 可 靠 性 不 断 提高 的 情况 下 ,与 其 他 形式 的 元 余 方式 相 比 ,1 : 1 的 部 件 级 元 余 是 一 种 
有 效 而 又 相对 简单 .配置 灵活 的 宛 余 技术 实现 方式 ,如 1/O 卡 件 元 余 、 电 源 宛 余 、 主 控制 器 
元 余 等 。 

网 络 系统 大 多 拥有 “容错 ”能力 ,容错 即 允许 存在 某 些 错误 ,尽管 系统 硬件 有 故障 或 程序 
有 错误 , 仍 能 正确 执行 特定 算法 和 提供 系统 服务 。 系 统 的 “容错 ?能 力主 要 是 基于 宛 余 技 
术 的 。 

系统 容错 可 使 网 络 系统 在 发 生 故 障 时 ,保证 系统 仍 能 正常 运行 ,继续 完成 预定 的 工作 。 
如 在 20 世纪 80 一 90 年 代 风 靡 全 球 的 NetWare 操作 系统 ,就 提供 了 三 级 系统 容错 技术 
(System Fault Tolerant, SFT)。 其 第 二 级 SFT 采用 了 磁盘 镜像 (两 套 磁 盘 ) 措 施 ,第 三 级 
SFT 采取 服务 器 镜像 (配置 两 套 服务 器 ) 措 施 实 行 “ 双 机 热 备份 ”。 


3.1.2 网 络 设 备 的 元 余 


网 络 系统 的 主要 设备 有 网 络 服务 器 、 核 心 交换 机 、 供 电 系统 、 链 接 以 及 网 络 边界 设备 (如 
路 由 器 防火墙) 等 。 为 保证 网 络 系统 能 正常 运行 和 提供 正常 的 服务 ,在 进行 网 络 设计 时 要 
充分 考虑 主要 设备 的 元 余 或 部 件 的 元 余 。 

1. 网 络 服务 器 系统 元 余 

由 于 服务 器 是 网 络 系统 的 核心 ,因此 为 了 保证 系统 能 够 安全 .可 靠 地 运行 ,应 采用 一 些 
元 余 措施 ,如 双 机 热 备份 .存储 设备 宛 余 、 电 源 匈 余 和 网 卡 匈 余 等 。 

1) 双 机 热 备份 

对 数据 可 靠 性 要 求 高 的 服务 (如 电子 商务 ,数据库 ), 其 服务 器 应 采用 双 机 热 备份 措施 。 
服务 器 双 机 热 备份 就 是 设置 两 台 服务 器 (一 个 为 主 服务 器 , 男 一 个 为 备份 服务 器 ) , 装 有 相同 
的 网 络 操作 系统 和 重要 软件 ,通过 网 卡 连接 。 当 主 服务 器 发 生 故 障 时 ,备份 服务 器 接替 主 服 
务 器 工作 ,实现 主 ` 备 服务 器 之 间 容 错 切换 。 在 备份 服务 器 工作 期 间 , 用 户 可 对 主 服务 器 故 
障 进行 修复 ,并 重新 恢复 系统 。 

2) 存储 设备 匈 余 

存储 设备 是 数据 存储 的 载体 。 为 了 保证 存储 设备 的 可 靠 性 和 有 效 性 ,可 在 本 地 或 异地 
设计 存储 设备 元 余 。 目 前 数据 的 存储 设备 多 种 多 样 , 根 据 需要 可 选择 刻录 光驱 、 磁 带 机 、 磁 
盘 镜 像 和 独立 宛 余 磁盘 阵列 (RAID) 等 。 下 面 主要 介绍 磁盘 镜像 和 RAID。 

(1) 磁盘 镜像 。 每 台 服 务 器 都 可 实现 磁盘 镜像 (配备 两 块 硬盘 ) ,这 样 可 保证 当 其 中 一 
块 硬盘 损坏 时 另 一 块 硬盘 可 继续 工作 ,不 会 影响 系统 的 正常 运行 。 

(2) RAID。RAID 可 采用 硬件 或 软件 的 方法 实现 。 磁 盘 阵 列 由 磁盘 控制 器 和 多 个 磁 
盘 驱 动 器 组 成 ,由 磁盘 控制 器 控制 和 协调 多 个 磁盘 驱动 器 的 读 写 操作 。 可 以 这 样 来 理解 ， 
RAID 是 一 种 把 多 块 独立 的 硬盘 (物理 硬盘 ) 按 不 同方 式 组 合 起 来 形成 一 个 硬盘 组 (逻辑 硬 
盘 ), 从 而 提供 比 单个 硬盘 更 高 的 存储 性 能 和 提供 数据 元 余 的 技术 。 组 成 磁盘 阵列 的 不 同方 


式 称 为 RAID 级 别 。 在 用 户 看 起 来 :组 成 的 磁盘 组 就 像 是 一 个 硬盘 ,用 户 可 以 对 它 进行 分 
区 、 格 式 化 等 。 总 之 ,对 磁盘 阵列 的 操作 与 单个 硬盘 一 样 。 不 同 的 是 ,磁盘 阵列 的 存储 性 能 
要 比 单个 硬盘 高 很 多 ,而且 在 很 多 RAID 模式 中 都 有 较为 完备 的 相互 校 检 /恢复 措施 ,甚至 
是 直接 相互 的 镜像 备份 ,从 而 大 大 提高 了 RAID 系统 的 容错 度 和 系统 的 稳定 宛 余 性 。RAID 
技术 经 过 不 断 的 发 展 ,现在 已 拥有 了 六 种 级 别 。 不 同 的 RAID 级 别 代表 着 不 同 的 存储 性 能 、 
数据 安全 性 和 存储 成 本 。 常 用 的 RAID 级 别 有 RAID0、RAID1、RAID5 等 。 

3) 电源 宛 余 

高 端 服 务 器 普遍 采用 双 电 源 系统 ( 即 服务 器 电源 宛 余 )。 这 两 个 电源 是 负载 均衡 的 ,在 
系统 工作 时 它们 都 为 系统 供电 。 当 其 中 一 个 电源 出 现 故 障 时 , 另 一 个 电源 就 会 满 负荷 地 承 
担 向 服务 器 供电 的 工作 。 此 时 ,系统 管理 员 可 以 在 不 关闭 系统 的 前 提 下 更 换 损坏 的 电源 。 
有 些 服务 器 系统 可 实现 DC( 直 流 ) 宛 余 , 有 些 服务 器 产品 可 实现 AC( 交 流 ) 和 DC 全 宛 余 。 

4) 网 卡 宛 余 

网 卡 宛 余 技术 原 为 大 、 中 型 计算 机 上 使 用 的 技术 ,现在 也 逐渐 被 一 般 服 务 器 所 采用 。 网 
卡 宛 余 是 指 在 服务 器 上 插 两 块 采用 自动 控制 技术 控制 的 网 卡 。 在 系统 正常 工作 时 , 双 网 卡 
将 自动 分 挫 网 络 流量 ,提高 系统 通信 带宽 ; 当 某 块 网 卡 或 网 卡通 道 出 现 故 障 时 ,服务 器 的 全 
部 通信 工作 将 会 自动 切换 到 无 故障 的 网 卡 或 通道 上 。 因 此 ,网 卡 宛 余 技 术 可 保证 在 网 络 通 
道 或 网 卡 故 障 时 不 影响 系统 的 正常 运行 。 

2. 核心 交换 机 宛 余 

核心 交换 机 在 网 络 运 行 和 服务 中 占有 非常 重要 的 地 位 ,在 宛 余 设计 时 要 充分 考虑 该 设 
备 及 其 部 件 的 元 余 , 以 保证 网 络 的 可 靠 性 。 

核心 交换 机 中 电源 模块 的 故障 率 相对 较 高 ,为 了 保证 核心 交换 机 的 正常 运行 ,一 般 考虑 
在 核心 交换 机 上 增 配 一 块 电源 模块 ,实现 该 部 件 的 元 余 。 为 了 保证 核心 交换 机 的 可 靠 运行 ， 
可 在 本 地 机 房 配备 双核 心 交换 机 或 在 异地 配备 双核 心 交换 机 ,通过 链 路 的 宛 余 实 行 核心 交 
换 设备 的 元 余 。 同 时 针对 网 络 的 应 用 和 扩展 需要 ,还 需 在 网 络 的 各 类 光电 接口 以 及 插 槽 数 
上 考虑 有 充分 的 元 余 。 

3. 供电 系统 元 余 

电源 是 整个 网 络 系 统 得 以 正常 工作 的 动力 源 , 一 旦 电源 发 生 故障 ,往往 会 使 整个 系统 的 
工作 中 断 , 从 而 造成 严重 后 果 。 因 此 ,采用 元 余 的 供电 系统 备份 方案 ,保持 稳定 的 电力 供应 
是 必要 的 ,因为 供电 系统 的 安全 可 靠 是 保证 网 络 系统 可 靠 运 行 的 关键 。 

通常 城市 供电 相对 比较 稳定 ,如 果 停 电 也 是 区 域 性 停电 , 且 停 电 时 间 不 会 很 长 ,因此 可 
考虑 使 用 UPS 作为 备份 电源 , 即 采用 市 电 十 UPS 后 备 电 池 相 结合 的 元 余 供 电 方式 。 正 常 
情况 下 ,市 电 通 过 UPS 稳 频 稳 压 后 ,给 网 络 设备 供电 ,保证 设备 的 电能 质量 。 当 市 电 停 电 
时 ,网 络 操作 系统 提供 的 UPS 监控 功能 ,在 线 监 控 电 源 的 变化 , 当 监 测 到 电源 故障 或 电压 不 
稳 时 ,系统 会 自动 切换 到 UPS 给 网 络 系统 供电 .使 网 络 正常 运行 ,从 而 保证 系统 工作 的 可 靠 
性 和 网 络 数据 的 完整 性 。 

4. 链接 宛 余 

为 避免 由 于 某 个 端口 、 某 台 交 换 机 或 某 块 网 卡 的 损坏 导致 网 络 链 路 中 断 ,可 采用 网 络 链 
路 元 余 措 施 , 每 台 服 务 器 同时 连接 到 两 台 网 络 设备 , 每 条 骨干 链 路 都 应 有 备份 线路 (元 余 
链 路 ) 。 
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5. 网 络 边界 设备 元 余 

对 于 比较 重要 的 网 络 系统 或 重要 的 服务 系统 ,对 路 由 器 和 防火 墙 等 网 络 边界 设备 的 可 
靠 性 要 求 也 非常 高 ,一旦 该 类 设备 出 现 故障 则 影响 内 部 网 和 外 部 网 的 互联 。 因 此 ,在 必要 时 
可 对 部 分 网 络 边界 设备 进行 元 余 设 计 。 


3.2 网 络 机 房 设施 与 环境 安全 


保证 网 络 机 房 的 实体 环境 ( 即 硬件 和 软件 环境 ) 安 全 是 网 络 系统 正常 运行 的 重要 保证 。 
因此 ,网 络 管理 部 门 必 须 加 强 对 机 房 环 境 的 保护 和 管理 ,以 确保 网 络 系统 的 安全 。 只 有 保障 
机 房 的 安全 可 靠 ,才能 保证 网 络 系统 的 日 常 业务 工作 正常 进行 。 

网 络 机 房 的 设施 与 环境 安全 包括 机 房 场地 的 安全 ,机 房 的 温度 ,湿度 和 清洁 度 控制 ,机 
房 内 部 的 管理 与 维护 ,机 房 的 电源 保护 ,机 房 的 防火 、 防 水 、 防 电磁 干扰 、 防 静电 、 防 电磁 辐 


3.2.1 机 房 的 安全 保护 


1. ae 引 内 部 管理 
常 ,在 选择 网 络 机 房 环境 及 场地 时 ,应 采用 以 下 安全 措施 。 

C1 和 个 良好 的 环境 。 因 此 ,机 房 的 场 
地 选择 应 考虑 避 开 有 害 气体 来 源 以 及 存放 腐蚀 、 易 燃 、 易 爆 物 品 的 地 方 , 避 开 低 洼 ,潮湿 的 地 
方 , 避 开 强 振动 源 和 强 噪音 源 , 避 开 电磁 干扰 源 。 

(2) 机 房 内 应 安装 监视 和 报警 装置 。 在 机 房 的 隐蔽 地 方 安装 监视 器 和 报警 器 ,用 来 监 
视 和 检测 入 侵 者 ,预报 意外 灾害 等 。 

同时 ,可 采取 以 下 机 房 及 内 部 管理 措施 

(1) 制定 完善 的 机 房 出 入 管理 制度 ,通过 特殊 标志 口令 、 指 纹 、 通 行 证 等 标识 对 进入 机 
房 的 人 员 进 行 识别 和 验证 ,对 机 房 的 关键 通道 应 加 锁 或 设置 警卫 等 ,防止 非法 人 员 进 入 
机 房 。 

(2) 外 来 人 员 ( 如 参观 者 ) 要 进入 机 房 , 应 先 登 记 申 请 进入 机 房 的 时 间 和 目的 ,经 有 关 部 
门 批准 后 由 警卫 领 和 或 由 相关 人 员 陪 同 。 进入 机 房 时 应 佩戴 临时 标志 , 且 要 限制 一 次 性 进 
入 机 房 的 人 员 数 量 。 

(3) 机 房 的 空气 要 经 过 净化 处 理 , 要 经 常 排除 废气 , 换 和 新风。 

(4) 工作 人 员 进 入 机 房 要 穿着 工作 服 ,佩戴 标志 或 标识 牌 , 并 要 经 常 保 持 机 房 的 清洁 
卫生 。 

(5) 要 制定 一 整套 可 行 的 管理 制度 和 操作 人 员 守 则 ,并 严格 监督 执行 。 

2. 机 房 的 环境 设备 监控 

随 着 社会 信息 化 程度 的 不 断 提 高 ,机 房 计 算 机 系统 的 数量 与 日 俱 增 , 其 环境 设备 也 日 益 
增多 ,机 房 环 境 设备 必须 时 时 刻 刻 为 网 络 系 统 提供 正常 的 运行 环境 。 因 此 ,对 机 房 设备 及 环 
境 实施 监控 就 显得 尤为 重要 。 

机 房 的 环境 设备 监控 系统 主要 是 对 机 房 设备 (如 供 配 电 系 统 、UPS 电源 、 防 雷 器 、 空 调 
系统 、 消 防 系 统 、 安 保 系统 等 ) 的 运行 状态 、 温 度 、 湿 度 、 洁 净 度 ,供电 的 电压 .电流 ,频率 , 配 电 











系统 的 开关 状态 等 进行 实时 监控 并 记录 历史 数据 ,为 机 房 高 效 的 管理 和 安全 运行 提供 有 力 
的 保证 。 

3. 机 房 的 温度 .湿度 和 洁净 度 

为 保证 计算 机 网 络 系统 的 正常 运行 ,对 机 房 工 作 环境 中 的 温度 .湿度 和 洁净 度 都 要 有 明 
确 要 求 。 为 了 使 机 房 的 这 “三 度 ” 达 到 要 求 , 机 房 应 配备 空调 系统 、 去 /加 湿 机 、 除 尘 器 等 设 
备 。 特 殊 场 合 甚至 要 配备 比 公 用 空调 系统 在 加 湿 、 除 尘 等 方面 有 更 高 要 求 的 专用 空调 系统 。 

机 房 的 温度 和 湿度 过 高 .过 低 或 变化 过 快 , 都 将 对 设备 的 元 器 件 、 绝 缘 件 .金属 构件 以 及 
信息 存储 介质 产生 不 良 影 响 ,其 结果 不 仅 影响 系统 工作 的 可 靠 性 ,还 会 影响 工作 人 员 的 身心 
健康 。 一 般 情况 下 ,机房 的 温度 应 控制 在 18 一 25"C ,更 严格 的 要 求 为 20C 士 2 ,变化 率 为 
2C/h。 机 房 的 相对 湿度 应 为 30 上 一 80% ,更 严格 的 要 求 为 40% 一 65%% ,变化 率 为 25%/h。 
温度 控制 和 湿度 控制 最 好 都 与 空调 联系 在 一 起 ,由 空调 集中 控制 。 机 房 内 应 安装 温度 ,湿度 
显示 仪 ,随时 观察 和 监测 温度 .湿度 。 

此 外 ,机 房 灰 尘 会 造成 设备 接 插件 的 接触 不 良 ,发热 元 器 件 的 散热 效率 降低 .电子 元 件 
的 绝缘 性 能 下 降 .机 械 磨损 增加 、 磁 盘 数据 的 读 写 出 错 且 可 能 划 伤 盘 片 等 危害 。 因 此 ,机 房 
必须 有 防 尘 和 除尘 设备 及 措施 ,保持 机 房 内 的 清洁 卫生 ,以 保证 设备 的 正常 工作 。 通 常 ,机 
房 的 洁净 度 要 求 灰尘 颗粒 直径 小 于 0. 5ym, 平 均 每 升 空 气 含 尘 量 少 于 18 000 粒 。 

4. 机 房 的 电源 保护 

电源 是 计算 机 网 络 系统 的 命脉 ,电源 系统 的 稳定 可 靠 是 网 络 系统 正常 运行 的 先决 条 件 。 
电源 系统 电压 的 波动 .电流 浪 涌 或 突然 断 电 等 意外 事件 的 发 生 不 仅 可 能 使 系统 不 能 正常 工 
作 , 还 可 能 造成 系统 存储 信息 的 丢失 ,存储 设备 损坏 等 。 因 此 ,电源 系统 的 安全 是 网 络 系统 
安全 的 重要 组 成 部 分 。 电 源 系统 安全 包括 外 部 供电 线路 的 安全 和 电源 设备 的 安全 。 

网 络 机 房 负 载 分 为 主 设备 负载 和 辅助 设备 负载 。 主 设备 负载 指 计 算 机 及 网 络 系统 、 计 
算 机 外 部 设备 及 机 房 监控 系统 , 主 设备 的 配 电 系统 称 为 "设备 供 配 电 系统 ”, 其 供电 质量 要 求 
高 ,应 采用 不 间断 电源 (UPS) 供 电 来 保证 主 设备 负载 供电 的 稳定 性 和 可 靠 性 。 

UPS 主要 由 UPS 主机 和 UPS 电池 组 构成 。 它 能 够 提供 持续 ,稳定 、 不 间断 的 电源 供 
应 。 当 系统 交流 电网 (市 电 ) 一 旦 停止 供电 时 ,UPS 就 会 立即 启动 ,为 系统 继续 供电 ,并 保持 
一 段 时 间 的 供电 ,使 用 户 有 充分 的 时 间 保 存 信息 并 正常 关机 。 在 UPS 供电 期 间 , 还 可 启动 
备用 发 电机 ,以 保证 更 长 时 间 的 不 间断 供电 。 此 外 ,UPS 还 有 滤 除 电压 的 瞬 变 和 稳 压 作用 。 
按 工 作 原理 的 不 同 可 分 为 后 备 式 、 在 线 式 和 在 线 互动 式 UPS。 普 通 计算 机 可 选用 后 备 式 
UPS, 可 靠 性 要 求 高 或 高 端 设备 可 选用 在 线 式 UPS。 一 般 情况 下 ,UPS 的 功率 大 小 应 为 负 
载 功率 的 1.2~1.8 倍 , 其 值 越 高 可 靠 性 越 好 。 

5. 机 房 的 防火 和 防水 

机 房 发 生火 灾 将 会 使 网 络 机 房 建筑 .计算 机 设备 .通信 设备 及 软件 和 数据 备份 等 毁 于 一 
且 , 造 成 巨大 的 财产 损失 。 通 常 ,在 人 们 视觉 不 及 的 顶棚 之 上 、 地 板 之 下 及 电源 开关 、 插 线 
板 .插座 等 处 往往 是 火灾 的 发 源 地 。 引 起 火灾 的 原因 主要 有 : 电器 设备 或 电线 起 火 、 空 调 电 
加 热 器 起 火 . 人 为 事故 起 火 或 其 他 建筑 物 起 火 瑞 及 机 房 等 。 机 房 火灾 的 防范 要 以 预防 为 主 、 
防 消 结合 。 平 时 加 强 防范 ,消除 一 切 火灾 隐患 ; 一 旦 失火 ,要 积极 扑救 ; 灾后 做 好 弥补 、 恢 
复工 作 ,减少 损失 。 机 房 防 火 的 主要 措施 有 建筑 物 防火 .设置 报警 系统 及 灭火 装置 和 加 强 防 
火 安全 管理 等 。 
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机 房 一 旦 受到 水 浸 , 将 使 网 络 电缆 和 电气 设备 的 绝缘 性 能 大 大 降低 ,甚至 不 能 工作 。 因 
此 ,机 房 应 有 相应 的 预防 隔离 和 排水 措施 。 一 般 可 采取 的 防水 措施 有 : 在 机 房 地 面 和 墙壁 
使 用 防 渗 水 和 防潮 材料 、 在 机 房 四 周 筑 有 水 泥 墙 脚 ( 防 水 围墙 )、 对 机 房屋 项 进行 防水 处 理 、 
在 地 板 下 区 域 设 置 合适 的 排水 设施 、 机 房 内 或 附近 及 楼 上 房间 不 应 有 用 水 设备 ,机房 必 须 设 
置 水 浴 报 警 装 置 等 。 


3.2.2 机 房 的 静电 和 电磁 防护 


1. 机 房 的 静电 防护 

静电 是 物体 表面 存在 过 剩 或 不 足 的 静止 电荷 (留存 在 物体 表面 的 电能 ) , 它 蚌 正 、 负 电荷 
在 局 部 范围 内 失去 平衡 的 结果 。 静 电 具 有 高 电位 \ 低 电量 、 小 电流 和 作用 时 间 短 等 特点 。 

静电 是 一 种 客观 的 自然 现象 ,产生 的 方式 有 很 多 (如 接触 .摩擦 等 )。 机 房 内 的 静电 主要 
是 两 种 不 同 起 电 序列 的 物体 通过 摩擦 、 碰 撞 、 和 剥离 等 方式 ,在 接触 又 分 离 后 在 一 种 物体 上 积 
聚 正 电荷 ,在 另 一 种 物体 上 积聚 等 量 的 负电 荷 而 形成 的 。 

静电 是 机 房 发 生 最 频繁 .最 难 消 除 的 危害 之 一 。 静 电 对 网 络 设备 的 影响 主要 表现 为 两 
点 ,一 是 可 能 造成 元 器 件 ( 中 大 规模 集成 电路 、 双 极 性 电路 ) 损 坏 , 二 是 可 能 引起 计算 机 误 操 
作 或 运算 错误 。 静电 放电 会 造成 电路 的 潜在 损伤 使 其 参数 变化 .品质 劣化 、 寿 命 降 低 。 静 电 
可 使 设备 在 运行 一 段 时 间 后 , 随 温度 、 时 间 、 电 压 的 变化 出 现 各 种 故障 ,影响 系统 的 正常 运行 
(如 误 码 率 增 大 ,设备 误 动 作 等 );。 静 电 对 计算 机 的 外 部 设备 也 有 明显 的 影响 ,如 带 阴 极 射线 
管 的 显示 设备 受到 静电 干扰 时 ,会 引起 图 像 亲 乱 .模糊 不 清 。 静 电 还 会 造成 Modem、 网 卡 、 
Fax 等 工作 失常 ,打印 机 的 打印 不 正常 等 故障 。 此 外 ,静电 还 会 影响 机 房 工 作 人 员 的 工作 和 
身心 健康 。 

静电 问题 很 难 查找 ,有 时 会 被 认为 是 软件 故障 。 对 静电 问题 的 防护 ,不仅 涉及 网 络 的 系 
统 设计 ,还 与 网 络 机 房 的 结构 和 环境 条 件 有 很 大 关系 。 

通常 ,机房 采取 的 防 静电 措施 有 : 

。 机 房 建设 时 ,在 机 房 地 面 铺设 防 静电 地 板 。 

。 工作 人 员 在 工作 时 穿戴 防 静电 衣服 和 鞋 帽 。 

*。 工作 人 员 在 拆 装 和 检修 机 器 时 应 在 手腕 上 佩戴 防 静 电 手 环 (该 手 环 可 通过 柔软 的 接 

地 导线 放电 ) 。 

。 保持 机 房 内 相应 的 温度 和 湿度 。 

2. 机 房 的 电磁 干扰 防护 

电磁 干扰 和 电磁 辐射 不 是 一 回 事 。 电 磁 干 扰 是 系统 外 部 电磁 场 ( 波 ) 对 系统 内 部 设备 及 
信息 的 干扰 ; 而 电磁 辐射 是 电 的 基本 特性 ,是 系统 内 部 的 电磁 波 向 外 部 的 发 射 。 电 磁 辐 射 
出 的 信息 不 仅 容易 被 截 收 并 破译 ,而 且 当 发 射频 率 高 到 一 定 程度 时 还 会 对 人 体 有 害 。 

网 络 机 房 周 围 电磁 场 的 干扰 会 影响 系统 设备 的 正常 工作 ,而 计算 机 和 其 他 电气 设备 的 
组 成 元 器 件 容 易 受 电磁 干扰 的 影响 。 电 磁 干 扰 会 增加 电路 的 噪声 ,使 机 器 产生 误 动作 ,严重 
时 将 导致 系统 不 能 正常 工作 。 
电磁 干扰 主要 来 自 计算 机 系统 外 部 。 系 统 外 部 的 电磁 干扰 主要 来 自 无 线 电 广播 天 线 、 
雷达 天 线 工业 电气 设备 、 高 压 电 力 线 和 变 电 设 备 ,以 及 大 自然 中 的 雷击 和 办 电 等 。 另 外 , 系 
统 本 身 的 各 种 电子 组 件 和 导线 通过 电流 时 ,也 会 产生 不 同 程度 的 电磁 干扰 ,这 种 影响 可 在 机 











器 制作 时 采用 相应 的 工艺 来 降低 和 解决 。 

通常 可 采取 将 机 房 选择 在 远离 电磁 干扰 源 的 地 方 、 建 造 机 房 时 采用 接地 和 屏蔽 等 措施 
防止 和 减少 电磁 干扰 的 影响 。 

3. 机 房 的 电磁 辐射 防护 
电磁 辐射 是 网 络 设备 在 工作 时 通过 地 线 、 电 源 线 、 信 号 线 等 将 所 处 理 的 信息 以 电磁 波 或 
谐 波形 式 放射 出 去 而 形成 的 。 

电磁 辐射 会 产生 两 种 不 利 因素 : 一 是 由 电子 设备 辆 射出 的 电磁 波 通过 电路 耦合 到 其 他 
电子 设备 中 形成 电磁 波 干扰 ,或 通过 连接 的 导线 .电源 线 、 信 号 线 等 耦合 而 引起 相互 间 的 干 
扰 , 当 这 些 电磁 干扰 达到 一 定 程度 时 ,就 会 影响 设备 的 正常 工作 ; 二 是 这 些 辐射 出 的 电磁 波 
本 身 携带 有 用 信号 ,如 这 些 辐射 信号 被 截 收 ,再 经 过 提取 、 处 理 等 过 程 即 可 恢复 出 原 信息 , 造 
成 信息 泄露 。 

利用 网 络 设备 的 电磁 辐射 穷 取 机 密 信息 是 国内 外 情报 机 关 截 获 信息 的 重要 途径 ,因为 
用 高 灵敏 度 的 仪器 截获 计算 机 及 外 部 设备 中 辐射 的 信息 , 比 用 其 他 方法 获得 的 情报 更 准确 、 
可 靠 和 及 时 ,而 且 隐蔽 性 好 ,不 易 被 对 方 察觉 。 

为 了 防止 电磁 辐射 引起 有 用 信息 的 扩散 ,通常 是 在 物理 上 采取 一 定 的 防护 措施 以 减少 
或 干扰 辐射 到 空间 中 的 电磁 信和 号。 

对 电磁 辐射 的 保护 可 按 设备 防护 、 建 筑 物 防 护 、 区 域 防护 、 通 信 线 路 防护 和 TEMPEST 
(电磁 辐射 防护 和 抑制 技术 ) 防 护 几 个 层次 进行 。 

通常 ,可 采取 抑 源 法 .屏蔽 法 和 噪声 干扰 法 等 措施 防止 电磁 辐射 。 抑 源 法 是 从 降低 电磁 
辐射 源 的 发 射 强度 出 发 ,对 计算 机 设备 内 部 产生 和 运行 串 行 数据 信息 的 部 件 .线路 和 区 域 采 
取 电 磁 辐 射 抑制 措施 和 传导 发 射 滤波 措施 ,并 视 需 要 在 此 基础 上 对 整 机 采取 整体 电磁 屏 项 
措施 ,以 减 小 全 部 或 部 分 频段 信号 的 传导 和 辐射 。 电 磁 屏 项 技术 包括 设备 屏 项 和 环境 屏蔽 ， 
它 是 从 阻 断 电磁 辐射 源 辐 射 的 角度 采取 措施 ,将 涉 密 设备 或 系统 放置 在 全 封闭 的 电磁 屏蔽 
室内 ,采用 的 屏蔽 材料 为 金属 板 和 金属 网 ,目前 已 有 满足 不 同 防护 需求 的 屏蔽 机 柜 、 屏 项 租 
和 屏蔽 包 等 产品 。 噪 声 干 扰 法 是 在 信道 上 增加 噪声 ,降低 接收 信号 的 信 噪 比 ,使 其 难以 将 辆 
射 信息 还 原 。 可 见 , 抑 源 法 通过 降低 或 消除 计算 机 电磁 辐射 源 的 辐射 从 根本 上 解决 问题 , 屏 
项 法 通过 阻 断 发 射 和 传导 途径 来 达到 电磁 辐射 防护 的 目的 ,而 噪声 法 则 是 通过 添加 与 信息 
相关 的 噪声 , 增 大 接收 辐射 信息 还 原 的 难度 。 


3.3 路 由 器 安全 


路 由 器 是 网 络 的 神经 中 枢 , 是 众多 网 络 设备 的 重要 一 员 , 它 担负 着 网 间 互 联 ` 路 由 走向 、 
协议 配置 和 网 络 安全 等 重任 ,是 信息 出 和 网络 的 必 经 之 路 。 广 域 网 就 是 靠 一 个 个 路 由 器 连 
接 起 来 组 成 的 ,局 域 网 中 也 已 经 普遍 应 用 到 了 路 由 器 ,在 很 多 企 事业 单位 ,已 经 用 路 由 器 来 
接 入 网 络 进行 数据 通信 ,可 以 说 ,路 由 器 现在 已 经 成 为 大 众 化 的 网 络 设备 了 。 

路 由 器 在 网 络 的 应 用 和 安全 方面 具有 极 重要 的 地 位 。 随 着 路 由 器 应 用 的 广泛 普及 , 它 
的 安全 性 也 成 为 一 个 热门 话题 。 路 由 器 的 安全 与 否 , 直 接 关系 到 网 络 是 否 安全 。 
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3.3.1 路 由 协议 与 访问 控制 


路 由 器 是 网 络 互 连 的 关键 设备 ,其 主要 工作 是 为 经 过 路 由 器 的 多 个 分 组 寻找 一 个 最 佳 
的 传输 路 径 , 并 将 分 组 有 效 地 传输 到 目的 地 。 路 由 选择 是 根据 一 定 的 原则 和 算法 在 多 结 点 
的 通信 子 网 中 选择 一 条 从 源 结 点 到 目的 结 点 的 最 佳 路 径 。 当 然 ,最 佳 路 径 是 相对 于 几 条 路 
径 中 较 好 的 路 径 而 言 的 ,一 般 是 选择 时 延 小 、 路 径 短 、 中 间 结 点 少 的 路 径 作 为 最 佳 路 径 。 通 
过 路 由 选择 ,可 使 网 络 中 的 信息 流量 得 到 合理 的 分 配 ,从 而 减轻 拥挤 ,提高 传输 效率 。 

1. 路 由 选择 及 协议 

路 由 算法 包括 静态 路 由 算法 和 动态 路 由 算法 。 静态 路 由 算法 很 难 算得 上 是 算法 ,只 不 
过 是 开始 路 由 前 由 网 管 建立 的 映射 表 。 这 些 映射 关系 是 固定 不 变 的 。 使 用 静态 路 由 的 算法 
较 容易 设计 ,在 简单 的 网 络 中 使 用 比较 方便 。 由 于 静态 路 由 算法 不 能 对 网 络 改 变 做 出 反应 ， 
因此 其 不 适用 于 现在 的 大 型 . 易 变 的 网 络 。 动 态 路 由 算法 根据 分 析 收 到 的 路 由 更 新 信息 来 
适应 网 络 环境 的 改变 。 如 果 分 析 到 网 络 发 生 了 变化 ,路 由 算法 软件 就 重新 计算 路 由 并 发 出 
新 的 路 由 更 新 信息 ,这样 就 会 促使 路 由 器 重新 计算 并 对 路 由 表 做 相应 的 改变 。 

在 路 由 器 上 利用 路 由 选择 协议 主动 交换 路 由 信息 ,建立 路 由 表 并 根据 路 由 表 转 发 分 组 。 
通过 路 由 选择 协议 ,路 由 器 可 动态 适应 网 络 结构 的 变化 ,并 找到 到 达 目 的 网 络 的 最 佳 路 径 。 
静态 路 由 算法 在 网 络 业务 量 或 拓扑 结构 变化 不 大 的 情况 下 ,才能 获得 较 好 的 网 络 性 能 。 在 
现代 网 络 中 ,广泛 采用 的 是 动态 路 由 算法 。 在 动态 路 由 选择 算法 中 ,分 布 式 路 由 选择 算法 是 
很 优秀 的 ,并 且 得 到 了 广泛 的 应 用 。 在 该 类 算法 中 ,最 常用 的 是 距离 向 量 路 由 选择 (DVR) 
算法 和 链 路 状态 路 由 选择 (LSR) 算 法 。 前 者 经 过 改进 ,成 为 目前 应 用 广泛 的 路 由 信息 协议 
(RIP) ,后 者 则 发 展 成 为 开放 式 最 短路 径 优先 (OSPF) 协 议 。 

2. ACL 

ACL( 路 由 器 访问 控制 列表 ) 是 Cisco IOS 所 提供 的 一 种 访问 控制 技术 ,初期 仅 在 路 由 
器 上 应 用 , 近 些 年 来 已 经 扩展 到 三 层 交 换 机 ,部 分 最 新 的 二 层 交 换 机 也 开始 提供 ACL 支 
持 。 在 其 他 厂商 的 路 由 器 或 多 层 交 换 机 上 也 提供 类 似 技术 ,但 名 称 和 配置 方式 可 能 会 有 细 
微 的 差别 。 

ACL 技术 在 路 由 器 中 被 广泛 采用 , 它 是 一 种 基于 包 过 滤 的 流 控制 技术 。ACL 在 路 由 
器 上 读 取 第 三 层 及 第 四 层 包 头 中 的 信息 (如 源 地 址 、 目 的 地 址 、 源 端口 .目的 端口 等 ) ,根据 预 
先 定义 好 的 规则 对 包 进 行 过 滤 , 从 而 达到 访问 控制 的 目的 。ACL 增加 了 在 路 由 器 接口 上 过 
滤 数 据 包 出 和 的 灵活 性 ,可 以 帮助 管理 员 限 制 网 络 流量 ,也 可 以 控制 用 户 和 设备 对 网 络 的 使 
用 。 它 根据 网 络 中 每 个 数据 包 所 包含 的 信息 内 容 决定 是 否 允许 该 信息 包 通 过 接口 。 

ACL 有 标准 ACL 和 扩展 ACL 两 种 。 标 准 ACL 把 源 地 址 、 目 的 地 址 及 端口 号 作为 数 
据 包 检 查 的 基本 元 素 ,并 规定 符合 条 件 的 数据 包 是 否 允 许 通 过 ,其 使 用 的 局 限 性 大 ,其 序 
列 号 是 1 一 99。 扩 展 ACL 能 够 检查 可 被 路 由 的 数据 包 的 源 地 址 和 目的 地 址 ,同时 还 可 以 
检查 指定 的 协议 、 端 口号 和 其 他 参数 ,具有 配置 灵活 、 控 制 精确 的 特点 ,其 序列 号 是 
100 一 199 。 

这 两 种 类 型 的 ACL 都 可 以 基于 序列 号 和 命名 进行 配置 。 最 好 使 用 命名 方法 配置 
ACL, 这 样 对 以 后 的 修改 是 很 方便 的 。 配 置 ACL 要 注意 两 点 : 一 是 ACL 只 能 过 滤 流 经 
由 器 的 流量 ,对 路 由 器 自身 发 出 的 数据 包 不 起 作用 ; 二 是 一 个 ACL 中 至 少 有 一 条 允许 











语句 。 

ACL 的 主要 作用 就 是 一 方面 保护 网 络 资源 ,阻止 非法 用 户 对 资源 的 访问 , 另 一 方面 限 
制 特 定 用 户 所 能 具备 的 访问 权限 。 它 通常 应 用 在 企业 内 部 网 的 出 口 控制 上 ,通过 实施 
ACL, 可 以 有 效 地 部 署 企业 内 部 网 的 出 口 策略 。 随 着 企业 内 部 网 资源 的 增加 ,一 些 企业 已 
开始 使 用 ACL 来 控制 对 企业 内 部 网 资源 的 访问 ,进而 保障 这 些 资源 的 安全 性 。 

3. 路 由 器 安全 

1) 用 户口 令 安全 

路 由 器 有 普通 用 户 和 特权 用 户 之 分 ,口令 级 别 有 十 多 种 。 如 果 使 用 明码 在 浏览 或 修改 
配置 时 容易 被 其 他 无 关 人 员 窥视 到 。 可 在 全 局 配置 模式 下 使 用 service password-encryption 命 
令 进行 配置 ,该 命令 可 将 明文 密码 变 为 密 文 密码 ,从 而 保证 用 户口 令 的 安全 。 该 命令 具有 不 
可 逆 性 , 即 它 可 将 明文 密码 变 为 密 文 密码 ,但 不 能 将 密 文 密码 变 为 明文 密码 。 

2) 配置 登录 安全 

路 由 器 的 配置 一 般 有 控制 口 (Console) 配 置 、Telnet 配置 和 SNMP 配置 三 种 方法 。 控 
制 口 配置 主要 用 于 初始 配置 ,使 用 中 英文 终端 或 Windows 的 超级 终端 ， Telnet 配置 方法 一 
般 用 于 远程 配置 ,但 由 于 Telnet 是 明文 传输 的 ,很 可 能 被 非法 窃取 而 泄露 路 由 器 的 特权 密 
码 , 从 而 会 影响 安全 ; SNMP 的 配置 则 比较 麻烦 , 故 使 用 较 少 。 

为 了 保证 使 用 Telnet 配置 路 由 器 的 安全 ,网 络 管理 员 可 以 采用 相应 的 技术 措施 , 仅 让 
路 由 器 管理 员 的 工作 站 登录 而 不 让 其 他 机 器 登录 到 路 由 器 ,可 以 保证 路 由 器 配置 的 安全 。 

使 用 IP 标准 访问 列表 控制 语句 ,在 路 由 器 的 全 局 配置 模式 下 ,输入 : 


#access— list 20 permit host 192.120.12.20 


该 命令 表示 只 允许 IP 为 192. 120. 12. 20 的 主机 登录 到 路 由 器 。 为 了 保证 192. 120. 12. 20 
这 一 IP 地 址 不 被 其 他 机 器 假冒 ,可 以 在 全 局 配置 模式 下 输入 : 


#arp 192. 120. 12. 20 yxxx. xxxx. xxxx arpa 


此 命令 可 将 该 IP 地 址 与 其 网 卡 物理 地 址 绑 定 ,xxxx. xxxx. xxxx 为 机 器 的 网 卡 物理 地 址 。 
这 样 就 可 以 保证 在 用 Telnet 配置 路 由 器 时 不 会 泄露 路 由 器 的 口令 。 

3) 路 由 器 访问 控制 安全 策略 

在 利用 路 由 器 进行 访问 控制 时 可 考虑 如 下 安全 策略 。 

(1) 严格 控制 可 以 访问 路 由 器 的 管理 员 ; 对 路 由 器 的 任何 一 次 维护 都 需要 记录 备案 ， 
要 有 完备 的 路 由 器 的 安全 访问 和 维护 记录 日 志 。 

(2) 建议 不 要 远程 访问 路 由 器 。 若 需要 远程 访问 路 由 器 , 则 应 使 用 访问 控制 列表 和 高 
强度 的 密码 控制 。 

(3) 要 严格 地 为 IOS 做 安全 备份 ,及 时 升级 和 修补 IOS 软件 ,并 迅速 为 IOS 安装 补丁 。 

(4) 要 为 路 由 器 的 配置 文件 做 安全 备份 。 

(5) 为 路 由 器 配备 UPS 设备 ,或 者 至 少 要 有 宛 余 电源 。 

(6) 为 进入 特权 模式 设置 强壮 的 密码 ,可 采用 enable secret( 不 要 采用 enable password) 命 
令 进 行 设置 ,并 且 启 用 Service password-encryption ,操作 如 下 。 


Router(config) # service password - encryption 
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Router(config) # enable secret 
(7) 如 果 不 使 用 AUX 端口 , 则 应 禁止 该 端口 ,使 用 如 下 命令 即 可 (默认 时 未 被 启用 )。 


Router(config)# line aux 0 
Router(config— line)#transport input none 
Router(config— line)#no exec 


(8) 若 要 对 权限 进行 分 级 ,采用 权限 分 级 策略 ,可 进行 如 下 操作 。 


Router(Config) # username test privilege 10 xxxx 
Router(Config) # privilege EXEC level 10 telnet 
Router(Config) # privilege EXEC level 10 show ip access — list 


3.3.2 VRRP 


1. VRRP 协议 概述 

VRRP (Virtual Router Redundancy Protocol, 虚 拟 路 由 器 元 余 协议 ) 是 一 种 选择 性 协 
议 , 它 可 以 把 一 个 虚拟 路 由 器 的 责任 动态 分 配 到 局 域 网 上 VRRP 路 由 器 。 控 制 虚拟 路 由 器 
IP 地 址 的 VRRP 路 由 器 称 为 主 路 由 器 , 它 负 责 转发 数据 包 到 虚拟 IP 地 址 上 。 一旦 主 路 由 
器 不 可 用 ,这 种 选择 过 程 就 会 提供 动态 的 故障 转移 机 制 , 这 就 允许 虚拟 路 由 器 的 IP 地 址 可 
以 作为 终端 主机 的 默认 第 一 跳 路 由 器 。 使 用 VRRP 的 优点 是 有 更 高 默认 路 径 的 可 用 性 而 
无 须 在 每 个 终端 主机 上 配置 动态 路 由 或 路 由 发 现 协 议 。 

使 用 VRRP 可 以 通过 手动 或 DHCP 设 定 一 个 虚拟 IP 地 址 作为 默认 路 由 器 。 虚 拟 IP 
地 址 在 路 由 器 间 共 享 ,其 中 一 个 指定 为 主 路 由 器 而 其 他 的 则 为 备份 路 由 器 。 如 果 主 路 由 器 
不 可 用 ,这 个 虚拟 IP 地 址 就 会 映射 到 一 个 备份 路 由 器 的 IP 地 址 (该 备份 路 由 器 就 成 为 了 主 
路 由 器 ) 。 

2. VRRP 协议 原理 

通常 ,一 个 网 络 内 的 所 有 主机 都 设置 一 条 默认 路 由 (如 图 3. 3. 1 所 示 ,10. 100. 10. 1) ,这 
样 主机 发 出 的 目的 地 址 不 在 本 网 段 的 报 文 将 被 通过 默认 路 由 发 往 路 由 器 RouterA ,从 而 实 
现 主机 与 外 部 网 络 的 通信 。 当 路 由 器 RouterA 故障 时 ,本 网 段 内 所 有 以 RouterA 为 默认 路 
由 下 一 跳 的 主机 将 断 掉 与 外 部 的 通信 。 

VRRP 是 一 种 容错 协议 , 它 是 为 解决 上 述 问题 而 提出 的 ,如 图 3. 3.2 所 示 。VRRP 将 
局 域 网 的 一 组 路 由 器 (包括 一 个 Master 路 由 器 和 若干 个 Backup 路 由 器 ) 组 织 成 一 个 虚拟 路 
由 器 , 称 为 一 个 备份 组 。 该 虚拟 路 由 器 拥有 自己 的 IP 地 址 10. 100. 10. 1( 该 IP 地址 可 以 和 
备份 组 内 的 某 路 由 器 接口 地 址 相同 ) ,备份 组 内 的 路 由 器 也 有 自己 的 IP 地址 (如 Master 路 
由 器 的 IP 地 址 为 10. 100. 10.2,Backup 路 由 器 的 IP 地 址 为 10. 100. 10. 3)。 局 域 网 内 的 主 
机 仅仅 知道 这 个 虚拟 路 由 器 的 IP 地 址 10. 100. 10. 1 ,而 不 知道 Master 路 由 器 的 IP 地 址 和 
Backup 路 由 器 的 IP 地 址 ,它们 将 自己 的 默认 路 由 下 一 跳 地 址 设置 为 该 虚拟 路 由 器 的 IP 地 
址 10. 100. 10.1。 于 是 ,网 络 内 的 主机 就 通过 该 虚拟 路 由 器 与 其 他 网 络 进行 通信 。 如 果 备 
份 组 内 的 Master 路 由 器 出 现 故障 ,Backup 路 由 器 将 会 通过 选举 策略 选 出 一 个 新 的 Master 
路 由 器 ,继续 向 网 络 内 的 主机 提供 路 由 服务 .从 而 实现 网 络 内 的 主机 不 间断 地 与 外 部 网 络 进 
行 通信 。 
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在 VRRP 路 由 器 组 中 , 按 优先 级 选举 主 控 路 由 器 ,VRRP 协议 中 的 优先 级 范围 是 0 一 
255。 若 VRRP 路 由 器 的 IP 地 址 和 虚拟 路 由 器 的 接口 IP 地 址 相同 , 则 称 该 虚拟 路 由 器 为 
VRRP 组 中 的 IP 地 址 所 有 者 ,IP 地 址 所 有 者 自动 具有 最 高 优先 级 (255)。 优 先 级 的 配置 原 
则 可 以 依据 链 路 速度 和 成 本 .路 由 器 性 能 和 可 靠 性 以 及 其 他 管理 策略 设 定 。 在 主 控 路 由 器 
选举 中 ,高 优先 级 的 虚拟 路 由 器 将 获胜 ,因此 ,如 果 在 VRRP 组 中 有 IP 地 址 所 有 者 , 则 它 总 
是 作为 主 控 路 由 的 角色 出 现 。 对 于 相同 优先 级 的 候选 路 由 器 , 则 按照 IP 地 址 的 大 小 顺序 选 
举 。 为 了 保证 VRRP 协议 的 安全 性 ,提供 了 明文 认证 和 IP 头 认证 两 种 安全 认证 措施 。 明 
文 认证 要 求 在 加 入 一 个 VRRP 路 由 器 组 时 ,必须 同时 提供 相同 的 VRID 和 明文 密码 。IP 头 
认证 提供 了 更 高 的 安全 性 ,能 够 防止 报 文 重 放 和 修改 等 攻击 。 

VRRP 协议 的 工作 机 理 与 Cisco 公司 的 HSRP(Hot Standby Routing Protocol) 协 议 有 
许多 相似 之 处 。 但 二 者 之 间 的 主要 区 别 是 在 Cisco 的 HSRP 中 ,需要 单独 配置 一 个 IP 地 址 
作为 虚拟 路 由 器 对 外 体现 的 地 址 ,这 个 地 址 不 能 是 组 中 任何 一 个 成 员 的 接口 地 址 。 

使 用 VRRP 协议 ,不 用 改造 目前 的 网 络 结构 ,从 而 最 大 限度 地 保护 了 当前 投资 ,只 需 最 
少 的 管理 费用 , 却 大 大 提升 了 网 络 性 能 ,具有 重大 的 应 用 价值 。 


3.4 交换 机 安全 


交换 机 是 一 种 基于 MAC( 网 卡 的 硬件 地 址 识别, 能 完成 封装 转发 数据 包 功 能 的 网 络 
设备 。 交 换 机 可 以 “学 习 ”MAC 地 址 ,并 把 其 存放 在 内 部 地 址 表 中 ,通过 在 数据 帧 的 源 发 送 
者 和 目标 接收 者 之 间 建 立 临时 的 交换 路 径 ,使 数据 帧 由 源 地 址 到 达 目的 地 址 。 


3.4.1 交换 机 功能 与 安全 


交换 机 在 内 部 网 中 占有 重要 的 地 位 ,通常 是 整个 网 络 的 核心 所 在 。 在 这 个 黑客 人 侵 成 
风 、 病 毒 肆虐 的 网 络 时 代 , 作 为 网 络 核心 的 交换 机 也 理所当然 地 要 承担 起 网 络 安全 的 一 部 分 
责任 。 传 统 交换 机 主要 用 于 数据 包 的 快速 转发 .强调 转发 性 能 。 交 换 机 作为 网 络 环境 中 重 
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要 的 转发 设备 ,其 原来 的 安全 特性 已 经 无 法 满足 现在 的 安全 需求 ,所 以 要 求 交换 机 应 有 专业 
安全 产品 的 性 能 ,因此 安全 交换 机 便 应 运 而 生 。 在 安全 交换 机 中 集成 了 安全 认证 .ACL、 防 
火 墙 入 侵 检 测 、 防 攻击 、 防 病毒 等 功能 。 

1. 交换 机 功能 

传统 以 太 网 交换 机 是 第 二 层 交换 机 ,第 二 层 交 换 机 是 一 个 可 以 将 发 送 端 地 址 与 接收 端 
地 址 连接 起 来 的 网 络 设备 。 该 设备 根据 数据 帧 中 的 头 信息 ,将 来 自 一 个 或 多 个 输入 端口 的 
帧 发 送 到 一 个 或 多 个 端口 ,完成 数据 交换 。 交 换 技 术 是 为 向 共享 式 局 域 网 提供 有 效 的 网 段 
划分 解决 方案 而 出 现 的 , 它 可 以 使 每 个 用 户 都 尽 可 能 地 分 享 到 最 大 带宽 。 交 换 机 工作 在 
OSI 模 型 中 的 数据 链 路 层 , 因 此 交换 机 对 数据 包 的 转发 是 建立 在 MAC 地 址 基础 之 上 的 ,对 
于 IP 网 络 协 议 来 说 , 它 是 透明 的 , 即 交 换 机 在 转发 数据 包 时 ,不 知道 也 无 须知 道 信 源 机 和 信 
宿 机 的 IP 地 址 ,只 需 知 其 物理 地 址 (MAC 地 址 ) 即 可 。 显 然 , 这 种 交换 机 的 最 大 优点 蚌 数 据 
交换 快 。 因 为 它 仅 需要 识别 数据 帧 中 的 MAC 地 址 ,而 直接 根据 MAC 地 址 产生 选择 转发 
端口 ,算法 十 分 简单 。 第 二 层 交换 机 虽然 也 支持 子 网 的 划分 和 广播 限制 等 基本 功能 ,但 控制 
能 力 较 小 。 

交换 机 在 操作 过 程 中 会 不 断 地 收集 信息 去 建立 MAC 地 址 表 。MAC 地 址 表 说 明了 某 
个 MAC 地 址 是 在 哪个 端口 上 被 发 现 的 ,所 以 当 交 换 机 收 到 一 个 TCP/IP 数据 包 时 ,会 查看 
该 数据 包 的 目的 MAC 地 址 ,然后 核对 自己 的 MAC 地 址 表 以 确认 应 该 从 哪个 端口 把 数据 
包 发 出 去 。 此 功能 由 按 特定 用 户 要 求 和 特定 电子 系统 的 需要 而 设计 、 制 造 的 专用 集成 电路 
ASIC 完成 ,因此 速度 相当 快 ,一 般 只 需要 几 十 微 秒 ,交换 机 便 可 决定 一 个 IP 数据 包 该 往 哪 

交换 机 可 看 作 是 一 个 具有 流量 控制 的 网 桥 , 它 是 由 背 板 ,端口 ,缓冲 区 、 人 逻辑 控制 单元 和 
交叉 矩阵 等 部 件 组 成 的 。 

2. 交换 机 安全 

1) 安全 交换 机 的 三 层 含义 

交换 机 最 重要 的 作用 就 是 转发 数据 ,在 黑客 攻击 和 病毒 侵扰 下 ,交换 机 要 能 够 继续 保持 
其 高 效 的 数据 转发 速率 ,不 受到 攻击 的 干扰 ,这 就 是 交换 机 所 需 的 最 基本 的 安全 功能 。 同 
时 ,交换 机 作为 整个 网 络 的 核心 ,应 该 能 对 访问 和 存 取 网 络 信息 的 用 户 进行 区 分 和 权限 控 
制 。 更 重要 的 是 ,交换 机 还 应 该 配合 其 他 网 络 安全 设备 ,对 非 授 权 访 问 和 网 络 攻击 进行 监控 
和 阻止 。 

2) 802. 1x 安全 认证 

在 传统 的 局 域 网 环境 中 ,只 要 有 物理 的 连接 端口 ,未 经 授权 的 网 络 设备 就 可 以 接 入 局 域 
网 ,或 者 未 经 授权 的 用 户 就 可 以 通过 连接 到 局 域 网 的 设备 进入 网 络 ,这样 就 造成 了 潜在 的 安 
全 威胁 。 另 外 ,在 学 校 和 智能 小 区 的 网 络 中 ,由 于 涉及 网 络 的 计 费 ,所 以 验证 用 户 接 和 人 的 合 
法 性 也 显得 非常 重要 。IEEE 802. 1x 正 是 解决 这 个 问题 的 良 方 ,目前 已 经 被 集成 到 二 层 智 
能 交换 机 中 ,用 以 完成 对 用 户 的 接 入 安全 审核 。 

802. 1x 协议 是 基于 端口 的 访问 控制 协议 。 它 能 够 在 利用 IEEE 802 局 域 网 优势 的 基础 
上 提供 一 种 对 连接 到 局 域 网 的 用 户 进 行 认证 和 授权 的 手段 ,达到 接受 合法 用 户 接 入 ,保护 网 
络 安全 的 目的 。802. 1x 协议 与 LAN 是 无 颖 融合 的 。802. 1x 利用 了 交换 式 LAN 架构 的 物 
理 特性 ,实现 了 LAN 端口 上 的 设备 认证 。 在 认证 过 程 中 ,LAN 端口 要 么 充当 认证 者 ,要 么 


扮演 请 求 者 。 在 作为 认证 者 时 ,LAN 端口 在 需要 用 户 通过 该 端口 接 人 相应 的 服务 之 前 , 首 
先进 行 认 证 ,如 车 认证 失败 则 不 允许 接 入 ; 在 作为 请 求 者 时 ,LAN 端口 则 负责 向 认证 服务 
器 提交 接 人 服务 申请 。 基 于 端口 的 MAC 锁定 只 允许 信任 的 MAC 地 址 向 网 络 中 发 送 数 
据 。 来 自任 何 “ 不 信任 ”的 设备 的 数据 流 都 会 被 自动 丢弃 .从 而 最 大 限度 地 确保 安全 性 。 

3) 流量 控制 

安全 交换 机 的 流量 控制 技术 把 流 经 端口 的 异常 流量 限制 在 一 定 的 范围 内 ,以 避免 交换 
机 的 带宽 被 无 限制 滥用 。 安 全 交换 机 的 流量 控制 功能 能 够 实现 对 异常 流量 的 控制 ,以 避免 
网 络 堵塞 。 

4) 防范 DDoS 攻击 

企业 网 一 旦 遭 到 分 布 式 拒绝 服务 (DDoS) 攻 击 ,就 会 影响 大 量 用 户 的 正常 使 用 ,严重 时 
其 至 造成 网 络 瘫痪 。 安 全 交换 机 采用 专门 技术 来 防范 DDoS 攻击 , 它 可 以 在 不 影响 正常 业 
务 的 情况 下 ,智能 地 检测 和 阻止 恶意 流量 ,从 而 防止 网 络 受 到 DDoS 攻击 的 威胁 。 

5) 虚拟 局 域 网 VLAN 

虚拟 局 域 网 是 安全 交换 机 必 不 可 少 的 功能 。VLAN 可 以 在 二 层 或 三 层 交换 机 上 实现 
有 限 的 广播 域 。 它 可 把 网 络 分 成 一 个 个 独立 的 区 域 , 并 控制 这 些 区 域 是 否 可 以 通信 。 
VLAN 可 能 会 跨越 一 个 或 多 个 交换 机 ,设备 之 间 好 像 在 同一 个 网 络 间 通信 一 样 ,而 与 它们 
的 物理 位 置 无 关 。VLAN 可 在 各 种 形式 上 形成 ,如 端口 .MAC 地 址 IP 地 址 等 。VLAN 限 
制 了 各 个 不 同 VLAN 之 间 的 非 授 权 访 问 , 并 且 可 以 设置 IP/MAC 地 址 绑 定 功能 限制 用 户 
的 非 授权 访问 网 络 。 

6) 基于 ACL 的 防火 墙 功能 

安全 交换 机 采用 了 访问 控制 列表 (ACL) 来 实现 包 过 滤 防 火 墙 的 安全 功能 和 增强 安全 
防范 能 力 。ACL 通过 对 网 络 资源 的 访问 控制 ,确保 网 络 设备 不 被 非法 访问 或 被 用 作 攻 击 跳 
板 。ACL 是 一 张 规 则 表 , 交 换 机 按照 顺序 执行 这 些 规则 ,并 且 处 理 每 一 个 进入 端口 的 数据 
包 。 每 条 规则 根据 数据 包 的 属性 (如 源 地 址 、 目 的 地 址 和 协议 ) 允 许 或 拒绝 数据 包 通 过 。 由 
于 规则 是 按照 一 定 顺序 处 理 的 ,因此 每 条 规则 的 相对 位 置 对 于 确定 允许 和 不 允许 什么 样 的 
数据 包 通 过 网 络 是 至 关 重 要 的 。ACL 以 前 只 在 核心 路 由 器 中 才 有 使 用 。 在 安全 交换 机 中 ， 
访问 控制 过 滤 措 施 可 以 基于 源 /目标 交换 槽 .端口 \ 源 /目标 VLAN, 源 /目标 IP、TCP/UDP 
端口 ICMP 类 型 或 MAC 地 址 来 实现 。 

7) IDS 功能 

安全 交换 机 的 人 侵 检 测 系统 (IDS) 功能 可 以 根据 上 报信 息 和 数据 流 内 容 进行 检测 ,在 
发 现 网 络 安全 事件 时 ,进行 有 针对 性 的 操作 ,并 将 这 些 对 安全 事件 反应 的 动作 发 送 到 交换 机 
上 ,由 交换 机 来 实现 精确 的 端口 断 开 操作 。 实 现 这 种 联动 ,需要 交换 机 支持 认证 .端口 镜像 、 
强制 流 分 类 .进程 数控 制 .端口 反 向 查询 等 功能 。 

3. 交换 机 的 基本 配置 

配置 交换 机 使 网 络 对 可 访问 站 点 进行 控制 ,从 而 实现 对 自身 的 保护 。 如 果 用 户 的 工作 
站 是 固定 的 ,那么 往往 可 以 通过 MAC 地 址 与 相同 接 入 层 的 交换 机 端口 连接 。 如 果 工 作 站 
是 移动 的 站 点 ,也 可 以 动态 地 获得 其 MAC 地 址 并 将 该 地 址 加 入 到 一 个 地 址 列表 中 ,以 实现 
与 交换 机 端口 的 连接 。 

端口 安全 (portsecure) 命 令 定义 了 一 个 最 大 值 . 即 在 MAC 地 址 表 中 与 交换 机 端口 相 
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联系 的 所 允许 的 最 多 的 MAC 地 址 。 最 大 计数 值 范围 为 1 一 132 ,默认 值 为 132,. 即 最 多 可 有 
132 个 目的 MAC 地 址 。 

用 port-secure 命令 设置 端口 安全 性 后 ,该 端口 所 对 应 的 地 址 就 会 出 现在 MAC 地 址 表 
中 ,而 不 会 以 动态 类 型 出 现 。 因 为 若 该 端口 对 应 的 静态 MAC 地 址 数 未 达到 最 大 计数 值 , 且 
交换 机 又 从 端口 的 帧 流量 源 地 址 中 学 到 了 新 的 地 址 , 则 将 该 地 址 自动 转变 成 永久 MAC 地 
址 并 存 人 MAC 地址 表 中 。 一 旦 永久 或 静态 MAC 地 址 数 达 到 count 值 , 则 不 再 接受 新 的 地 
址 ,这 种 方式 称 为 Sticky-Learns( 记 忆 性 学 习 ) 。 该 方式 解决 了 未 经 允许 而 多 人 共用 一 台 集 
线 器 接 人 交换 机 的 一 个 端口 所 造成 的 不 安全 因素 。 

1) MAC 地 址 表 及 相关 信息 

MAC 地 址 表 对 于 交换 机 而 言 如 同 路 由 表 对 于 路 由 器 。 因 此 ,对 MAC 地 址 表 的 配置 也 
尤为 重要 。 

(1) 显示 MAC 地 址 表 。 

MAC 地 址 表 中 的 地 址 由 永久 地 址 ,限制 性 静态 地 址 和 动态 地 址 三 种 地 址 组 成 。 

在 Switch# show MAC-address-table 命令 中 即 可 看 到 MAC 地 址 表 。 

MAC 地 址 表 由 地 址 、 源 端口 表 、 目 的 端口 和 类 型 组 成 。 地 址 是 指 目的 MAC 地 址 ; 源 
端口 表 是 可 以 向 目的 端口 转发 帧 的 源 端口 集合 ; 目的 端口 是 转发 数据 帧 的 端口 ; 类 型 是 指 
动态 地 址 ,其 意味 着 MAC 地 址 表 中 的 地 址 是 通过 学 习 流入 该 端口 的 数据 帧 的 帧 头 中 的 源 
端 MAC 地 址 得 来 的 。 

(2) 设置 永久 地 址 。 

车 设置 了 永久 地 址 的 目的 MAC 地 址 及 其 转发 端口 , 则 该 地 址 永久 不 会 超时 ,所 有 的 端 
口 均 可 以 转发 帧 给 它 。 设 置 永久 地 址 的 命令 如 下 。 


Switch(config) # MAC - address - table permanent[ MAC Address][type slot/port] 


(3) 设置 限制 性 静态 地 址 。 
限制 性 静态 地 址 不 但 继承 了 永久 地 址 的 所 有 特性 ,更 进一步 严格 地 限制 了 源 端口 ,安全 
性 得 到 进一步 地 增强 。 设 置 限制 性 静态 地 址 的 命令 如 下 。 


Switch(config) # MAC - address - table restricted static[ MAC address] [type slot/port][ source 
interface list] 


(4) 删除 表 项 。 

如 果 不 需要 某 条 MAC 地 址 表 项 , 则 可 将 其 删除 ,删除 表 项 的 命令 如 下 。 

Switch# clear MAC - address - table[ dynamic|permanent|restricted] 

2) 交换 机 端口 安全 

(1) 认证 端口 。 

可 以 给 交换 机 端口 配置 增加 一 个 文本 描述 来 帮助 认证 配置 ,这 个 描述 仅仅 意味 着 一 个 
注释 域 ,作为 端口 使 用 的 一 条 记录 或 者 其 他 唯一 的 信息 。 为 了 给 端口 分 配 一 个 注释 或 描述 ， 
在 接口 配置 模式 下 输入 如 下 命令 。 


Switch(config— if)#description description— string 


执行 接口 配置 命令 no description 时 会 删除 一 个 注释 或 描述 。 

(2) 端口 速度 。 

可 以 通过 交换 机 配置 命令 给 交换 机 端口 指定 一 个 特殊 的 速度 ,快速 以 太 网 10/100 端口 
可 以 为 自 协商 模式 设置 速度 为 10、100 或 Auto( 默 认 )。 使 用 如 下 命令 可 在 一 个 特殊 的 以 太 
网 端口 上 指定 端口 速度 。 

Switch(config— if)#speed{10 | 100 | auto} 


(3) 端口 模式 。 
可 以 为 一 个 以 太 网 交换 机 端口 指定 一 个 特殊 的 连接 模式 ,使 端口 在 半 双 工 、 全 双 工 或 自 
协商 模式 下 操作 。 在 接口 配置 模式 下 输入 如 下 命令 可 在 交换 机 端口 上 设置 连接 模式 : 


Switch(config— if#duplex{auto | full | half} 


在 接口 配置 模式 下 执行 description 命令 ,可 配置 描述 信息 。 

3) 交换 机 口令 安全 

通常 ,网 络 设备 应 该 配置 为 对 于 未 被 授权 的 访问 是 安全 的 。Cisco 交换 机 通常 提供 一 
个 简单 安全 的 形式 ,通过 设置 密码 来 限制 注册 到 用 户 接口 的 人 。 交 换 机 有 用 户 执 行 模式 和 
特权 模式 两 种 可 用 的 用 户 访问 级 别 。 用 户 执行 模式 是 访问 的 第 一 级 密码 , 它 允 许 访问 基本 
的 端口 。 特 权 模 式 是 第 二 级 密码 , 它 允 许 设置 或 改变 交换 机 的 操作 参数 和 配置 。 

(1) 密码 设置 。 

为 用 户 模式 设置 注册 密码 ,需要 在 全 局 配置 模式 下 输入 下 列 命令 。 


Switch(config)# line con 0 
Switch(config- line) # password password 
Switch(config— line) # login 
Switch(config—1)#1ine vty 0 15 
Switch(config— line)# password password 
Switch(config - line)#1ogin 


登录 密码 可 防止 未 授权 用 户 登 录 。 启 用 密码 可 防止 未 授权 用 户 修改 配置 。 
当 进入 全 局 配置 模式 后 ,可 使 用 enable password 命令 配置 登录 密码 和 启用 密码 。 


(config) #enable password? 
level Set exec level password 
(config)#enable password level 
<1-15>Level Number 


Level | 为 登录 密码 ,Level 15 为 启用 密码 ,密码 长 度 是 4 一 8 个 字符 ,如 果 超 过 此 范围 ， 
系统 则 提示 密码 长 度 无 效 , 如 : 


(config)#enable password level 1 nocoluvsnoko 
Error: Invalid password length. 
Password must be between 4 and 8 characters 


(2) 重 配置 并 验证 。 


(config) # enable password level 1 noco 
(config) # enable password level 15 noko 
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(config)#exit 
#exit 


3.4.2 交换 机 端口 汇聚 与 镜像 


1. 交换 机 端口 汇聚 

1) 端口 汇聚 的 概念 

端口 聚合 也 称 以 太 通 道 Cethernet channel) ,主要 用 于 交换 机 之 间 的 连接 。 简 单 来 讲 ， 
端口 从 合 就 是 将 多 个 物理 端口 合并 成 一 个 逻辑 端口 。 利 用 端口 汇聚 技术 ,交换 机 会 把 一 组 
物理 端口 联合 起 来 ,作为 一 个 逻辑 通道 ,也 就 是 channel-group。 这 时 ,交换 机 会 认为 这 个 好 
辑 通 道 为 一 个 端口 。 

端口 汇聚 将 多 个 端口 聚合 在 一 起 形成 一 个 汇聚 组 ,以 实现 出 负荷 在 各 成 员 端 口中 的 分 
担 ,同时 也 提供 了 更 高 的 连接 可 靠 性 。 端 口 汇聚 可 以 分 为 手工 汇聚 .动态 lacp 汇聚 和 静态 
lacp 汇聚 。 同 一 个 汇聚 组 中 端口 的 基本 配置 应 该 保持 一 致 , 即 如 果 某 端口 为 trunk 端口 , 则 
其 他 端口 也 配置 为 trunk 端口 ; 如 果 该 端口 的 链 路 类 型 改 为 access 端口 , 则 其 他 端口 的 链 
路 类 型 也 改 为 access 端口 。 

2) 交换 机 端口 汇聚 技术 的 实现 (以 H3C 交换 机 为 例 ) 

交换 机 端口 汇聚 结构 如 图 3. 4. 1 所 示 ,这 样 可 增加 SwitchA 的 SwitchB 的 互联 链 路 的 
带宽 ,实现 链 路 备份 。SwitchA 的 端口 E0/1 和 E0/2 分 别 与 SwitchB 的 端口 E0/1 和 E0/2 
互 连 。 当 交换 机 之 间 互 联 时 ,配置 端口 汇聚 会 将 流量 在 多 个 端口 上 进行 分 担 , 即 采用 端口 汇 
聚 可 以 完成 增加 带宽 .负载 分 担 和 链 路 备份 的 效果 。 


SwitchA EO/l Eo/l SwitchB 
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图 3.4.1 交换 机 端口 汇聚 结构 


SwitchA 交换 机 的 端口 汇聚 配置 如 下 。 
(1) 进入 端口 E0/1。 


[Switchh] interface ethernet 0/1 

(2) 汇聚 端口 必须 工作 在 全 双 工 模式 。 

[Switcha - ethernet0/1]duplex full 

(3) 汇聚 的 端口 速率 要 求 相同 ,但 不 能 是 自 适 应 。 
[Switcha - ethernet0/1]speed 100 

(4) 进入 端口 E0/2, 其 他 配置 类 同 。 


[SwitchA]interface ethernet 0/2 


[Switcha - ethernet0/2]duplex full 
[Switcha - ethernet0/2]speed 100 


(5) 根据 源 和 目的 MAC 进行 端口 选择 汇聚 。 
[SwitchR]1link - aggregation ethernet 0/1 to ethernet 0/2 both 


SwitchB 的 相关 配置 与 SwitchA 的 配置 顺序 及 内 容 相 似 。 


[SwitchB]interface ethernet 0/1 

[SwitchB - ethernet0/1]duplex full 

[SwitchB - ethernet0/1]speed 100 

[SwitchB]interface ethernet 0/2 

[SwitchB - ethernet0/2]duplex full 

[SwitchB - ethernet0/2]speed 100 

[SwitchB]link- aggregation ethernet 0/1 to ethernet 0/2 both 

配置 端口 汇聚 时 可 使 用 参数 ingress 或 both。 两 者 的 区 别 是 : 前 者 表示 端口 汇聚 组 中 
各 成 员 端 口 仅 根据 源 MAC 地 址 对 出 端口 的 流量 进行 负荷 分 担 ; 后 者 表示 端口 汇聚 组 中 各 
成 员 端口 根据 源 、 目 的 MAC 地 址 对 出 端口 的 流量 进行 负荷 分 担 。 只 有 数目 较 多 的 主机 进 
行 访问 时 ,才能 观测 出 负载 的 效果 。 

2. 交换 机 端口 镜像 

通过 交换 机 端口 的 镜像 功能 ,使 用 服务 器 对 
两 台 PC 的 业务 报 文 进行 监控 。 按 照 镜像 的 不 同 
方式 有 基于 端口 的 镜像 配置 和 基于 流 的 镜像 配 
置 。 如 图 3. 4. 2 所 示 ,将 PC1 接 在 交换 机 E0/1 端 
口 ,IP 地 址 为 1.1. 1. 1/24; PC2 接 在 交换 机 E0/2 
端口 ,IP 地 址 为 2. 2. 2. 2/24; Server 接 在 交换 机 
E0/8 端口 ,该 端口 作为 镜像 端口 ; E0/24 为 交换 
机 上 行 端口 。 PC1 PC2 

基于 端口 的 镜像 是 把 被 镜像 端口 的 进出 数据 图 3.4.2 交换 机 端口 镜像 配置 
完全 复制 一 份 到 镜像 端口 ,这 样 可 进行 流量 观测 
或 故障 定位 。 基 于 流 镜像 的 交换 机 针对 某 些 流 进行 镜像 ,每 个 连接 都 有 两 个 方向 的 数据 流 ， 
这 两 个 数据 流 是 分 开镜 像 的 。 

下 面 以 S8016 交换 机 为 例 介 绍 基于 端口 的 镜像 配置 ,以 S3026 交换 机 为 例 介绍 基于 三 
层 流 的 镜像 和 基于 二 层 流 的 镜像 。 

1) 基于 交换 机 端口 的 镜像 配置 

(1) 假设 S8016 交换 机 镜像 端口 为 El1/0/15 ,被 镜像 端口 为 E1/0/0, 设 置 端口 E1/0/15 
为 端口 镜像 的 观测 端口 。 


[SwitchR] port monitor ethernet 1/0/15 
(2) 设置 端口 E1/0/0 为 被 镜像 端口 ,对 其 输入 输出 数据 都 进行 镜像 。 
[SwitchA] port mirroring ethernet 1/0/0 both ethernet 1/0/15 


也 可 以 通过 两 个 不 同 的 端口 .对 输入 和 输出 的 数据 分 别 镜像 。 
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(3) 设置 E1/0/15 为 镜像 观测 端口 。 


[SwitchR] port monitor ethernet 1/0/15 


(4) 设置 端口 E1/0/0 为 被 镜像 端口 ,分别 使 用 El1/0/15 和 E2/0/0 对 输入 和 输出 数据 
进行 镜像 。 

[SwitchA] port mirroring gigabitethernet 1/0/0 ingress ethernet 1/0/15 

[SwitchA] port mirroring gigabitethernet 1/0/0 egress ethernet 2/0/0 


2) 基于 三 层 流 的 镜像 配置 
(1) 定义 一 条 扩展 ACL。 


[SwitchA]acl num 100 

(2) 定义 一 条 报 文 源 地 址 为 1. 1. 1. 1/24 去 往 所 有 目的 地 址 的 规则 。 
[SwitchR - acl -adv-101]rule 0 permit ip source 1.1.1.1 0 destination any 

(3) 定义 一 条 报 文 源 地 址 为 所 有 源 地 址 .目的 地 址 为 1. 1. 1. 1/24 的 规则 。 
[Switcha - acl - adv- 101]rule 1 permit ip source any destination 1.1.1.10 

(4) 将 符合 上 述 ACL 规则 的 报 文 镜像 到 E0/8 端口 。 

[SwitchA]mirrored - to ip ~ group 100 interface ethernet 0/8 


3) 基于 二 层 流 的 镜像 配置 
(1) 定义 一 个 ACL。 


[SwitchA]acl num 200 

(2) 定义 一 个 从 E0/1 发 送 数据 包 至 其 他 端口 (如 E0/2) 的 规则 。 
[SwitchA]rule 0 permit ingress interface ethernet 0/1 egress interface ethernet 0/2 
(3) 定义 一 个 从 其 他 端口 (如 E0/2) 发 送 数据 包 到 E0/1 端口 的 规则 。 
[SwitchA]rule 1 permit ingress interface ethernet 0/2 egress interface ethernet 0/1 
(4) 将 符合 上 述 ACL 的 数据 包 镜 像 到 E0/8。 


[SwitchA]mirrored - to link — group 200 interface ethernet 0/8 


3.5 服务 器 与 客户 机 安全 


3.5.1 服务 器 安全 


1. 网 络 服务 器 

网 络 服务 器 (硬件 ) 是 一 种 高 性 能 计算 机 ,再 配 以 相应 的 服务 器 软件 系统 (如 操作 系统 ) 
就 构成 了 网 络 服务 器 系统 。 网 络 服务 器 系统 的 数据 存储 和 处 理 能 力 均 很 强 ,是 网 络 系统 的 
灵魂 。 在 基于 服务 器 的 网 络 中 ,网络 服务 器 担负 着 向 客户 机 提供 信息 数据 网 络 存 储 、 科 学 


计算 和 打印 等 共享 资源 和 服务 ,并 负责 协调 管理 这 些 资源 。 由 于 网 络 服务 器 要 同时 为 网 络 
上 所 有 的 用 户 服务 ,因此 ,要 求 网 络 服务 器 具有 高 可 靠 性 \ 高 吞吐 能 力 ` 大 内 存 容量 和 较 快 的 
处 理 速度 等 性 能 。 

根据 网 络 的 应 用 和 规模 ,网 络 服务 器 可 选用 高 档 微 机 、 工 作 站 、PC 服务 器 .小 型 机 、 中 
型 机 和 大 型 机 等 担任 。 按照 服 务 器 用 途 , 服 务 器 可 分 为 文件 服务 器 、 数 据 库 服 务 器 、 
Internet/Intranet 通用 服务 器 、 应 用 服务 器 等 。 

Internet 上 的 应 用 服务 器 又 有 HDCP 服务 器 、Web 服务 器 、FTP 服务 器 .DNS 服务 器 
和 STMP 服务 器 等 。 上 述 服务 器 主要 用 于 完成 一 般 网 络 和 Internet 上 的 不 同 功 能 。 应 用 
服务 器 用 于 在 通用 服务 器 平台 上 安装 相应 的 应 用 服务 软件 并 实现 特定 的 功能 ,如 数据 中 间 
件 服 务 器 . 流 式 媒体 点 播 服务 器 .电视 会 议 服务 器 和 打印 服务 器 等 。 

2. 服务 器 的 安全 策略 

(1) 对 服务 器 进行 安全 设置 (包括 IIS 的 相关 设置 .Internet 各 服务 器 的 安全 设置 、 
MySQL 安全 设置 等 ) ,提高 服务 器 应 用 的 安全 性 。 

(2) 进行 日 常 的 安全 检测 (包括 查看 服务 器 状态 、 检 查 当 前 进程 情况 .检查 系统 账号 、 查 
看 当前 端口 开放 情况 、 检 查 系 统 服务 、 查 看 相关 日 志 、 检 查 系统 文件 .检查 安全 策略 是 否 更 
改 、 检 查 目 录 权 限 、 检 查 启 动 项 等 ) ,以 保证 服务 器 正常 .可 靠 地 工作 。 

(3) 加 强 服务 器 的 日 常 管理 (包括 服务 器 的 定时 重启 、 安 全 和 性 能 检查 、 数 据 备 份 、 监 
控 、 相 关 日 志 操作 、 补 丁 修补 和 应 用 程序 更 新 .隐患 检查 和 定期 的 管理 密码 更 改 等 ) 。 

(4) 采取 安全 的 访问 控制 措施 ,保证 服务 器 访问 的 安全 性 。 

(5) 禁用 不 必要 的 服务 ,提高 安全 性 和 系统 效率 。 

(6) 修改 注册 表 ,使 系统 更 强壮 (包括 隐藏 重要 文件 /目录 ,修改 注册 表 实 现 完全 隐藏 、 
启动 系统 自 带 的 Internet 连接 防火 墙 、. 防 止 SYN 洪水 攻击 .禁止 响应 ICMP 路 由 通告 报 文 、 
防止 ICMP 重 定向 报 文 攻击 修改 终端 服务 端口 ` 禁 止 IPC 和 建立 空 连接 .更改 TTL 值 、 删 
除 默认 共享 等 ) 。 

(7) 正确 划分 文件 系统 格式 ,选择 稳定 的 操作 系统 安装 盘 。 

(8) 正确 设置 磁盘 的 安全 性 (包括 系统 盘 权 限 设置 .网 站 及 虚拟 机 权限 设置 .数据 备份 
盘 和 其 他 方面 的 权限 设置 ) 。 


3.5.2 客户 机 安全 


在 企业 、 单 位 的 内 部 网 络 中 ,除了 一 些 提 供 网 络 服务 的 服务 器 外 ,应 用 更 多 的 是 客户 机 。 
网 络 管理 人 员 可 以 考虑 制定 标准 的 客户 机 安全 政策 ,利用 一 些 安全 设 定 与 保护 机 制 来 管理 
这 些 有 潜在 风险 的 客户 机 系统 。 

客户 机 是 对 企业 网 络 进行 内 部 攻击 的 最 常见 的 攻击 源头 ,其 对 系统 安全 管理 员 的 工作 
构成 了 挑战 : 一 是 因为 网 络 中 客户 机 的 数量 很 多 ; 二 是 因为 许多 用 户 没有 接受 过 网 络 安全 
教育 ,或 不 关心 网 络 安全 问题 。 虽 然 阻 止 外 部 对 网 络 内 部 客户 机 的 访问 相对 容易 ,但 要 防止 
内 部 的 攻击 却 困难 得 多 。 

1. 客户 机 的 安全 策略 


网 络 安全 管理 员 为 客户 机 制订 合理 的 .切实 可 行 的 安全 策略 ,利用 相关 的 安全 产品 , 提 | 第 


高 客户 机 的 安全 性 是 非常 必要 的 。 
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1) 客户 机 系统 安全 

(1) 下 载 安装 软件 开发 厂商 提供 的 补丁 程序 ,并 执行 修补 作业 。 

(2) 安装 防毒 软件 并 定期 更 新 病毒 码 。 

(3) 定期 执行 文件 和 数据 的 备份 。 

(4) 关闭 或 移 除 不 必要 的 应 用 程序 。 

(5) 合理 使 用 客户 机 管理 程序 。 

(6) 不 随意 下 载 或 执行 来 源 不 明 的 文档 或 程序 。 

2) 客户 机 安全 设 定 

(1) 设 定 使 用 者 授权 机 制 。 在 企业 .单位 内 部 网 络 环境 里 ,可 以 明确 唯 有 授权 的 使 用 者 
方 可 使 用 内 部 网 的 客户 机 。 另 外 ,使 用 者 可 以 启动 屏幕 保护 程序 来 限制 非 授权 人 的 使 用 ,以 
保护 客户 机 中 所 存放 的 数据 。 

(2) 设 定 访问 控制 权限 。 对 于 客户 机 中 机 密 或 重要 的 文档 /目录 进行 权限 控制 , 非 授权 
人 无 法 读 取 重要 的 文件 或 利用 密码 保护 功能 进行 控制 。 

(3) 设 定安 全 的 远程 管理 。 

Windows Server 2003 及 以 上 版 本 都 支持 远程 桌面 控制 功能 ,都 提供 远程 对 服务 器 和 
客户 机 的 安全 管理 工具 ,用 户 只 需 简 单 设 定 一 下 即 可 。 

2. 客户 机 的 风险 防护 

1) 对 身份 认证 风险 的 防护 

从 操作 系统 安全 方面 来 看 ,身份 认证 是 最 先 考虑 的 环节 ,获得 一 个 用 户 的 身份 就 掌握 了 
所 登录 计算 机 的 所 有 资源 ,同时 也 很 容易 获得 各 应 用 系统 的 使 用 权限 ,因此 身份 认证 方式 的 
安全 有 效 是 非常 重要 的 。 目 前 ,从 技术 上 看 身份 认证 主要 有 用 户 名 十 复杂 口令 .电子 密 钥 十 
PIN 码 和 人 体 生 理 特征 识别 三 种 方式 。 

通常 情况 下 ,主机 采用 用 户 名 和 设置 复杂 口令 的 身份 认证 方式 。 该 方式 一 般 要 求 的 口 
令 位 数 为 12 位 或 更 多 ,由 字母 .数字 、 特 殊 符 号 混合 组 成 ,并 定期 更 换 。 但 这 种 方式 的 缺点 
是 系统 的 口令 容易 被 破解 , 且 终 端 用 户 在 口令 更 换 周期 口令 复杂 性 等 方面 很 难 严格 执行 ， 
日 常 管理 难度 较 大 。 对 于 Windows 7 客户 机 操作 系统 ,可 以 使 用 组 策略 管理 方法 ,由 网 络 
管理 员 直 接 配 置 系统 密码 策略 和 账户 锁定 策略 ,对 密码 长 度 、 更 换 周期 \ 锁 定时 长 和 无 效 登 
录 阔 值 等 进行 具体 限制 。 利 用 组 策略 管理 器 管理 密码 的 方法 参见 9. 2. 1 节 介 绍 。 

电子 密 钥 和 PIN 码 的 身份 认证 方式 是 在 电子 密 钥 中 存 人 数字 证 书 等 身份 识别 文件 , 定 
期 更 换 PIN 值 (类 似 动态 口令 卡 ),PIN 值 一 般 设 为 6 位 或 更 多 ,用 户 只 有 在 同时 拥有 电子 
密 钥 和 知道 PIN 值 的 情况 下 才能 登录 系统 。 数 字 证 书 是 目前 在 网 上 银行 ,政府 部 门 等 应 用 
比较 广泛 的 技术 手段 ,其 安全 性 优 于 用 户 名 十 复杂 口令 方式 。 数 字 证 书 身份 认证 方式 需要 
购买 相应 的 软 硬 件 产品 。 

以 个 人 生理 特征 进行 验证 时 ,可 有 多 种 技术 为 验证 机 制 提供 支持 ,如 指纹 识别 .声音 识 
别 .血型 识别 .视网膜 识别 等 。 个 人 生理 特征 识别 方法 的 安全 性 最 好 ,但 验证 系统 也 最 复杂 。 
指纹 识别 是 常用 于 客户 机 的 生理 特征 识别 方法 。 指 纹 识别 技术 基于 人 体 生理 特征 ,安全 性 
相对 较 高 ,但 缺点 是 成 本 高 ,每 台 客 户 机 均 要 安装 指纹 传感器 及 相应 软件 。 对 于 非常 重要 的 
客户 机 可 以 采取 生理 特征 识别 十 复杂 口令 的 技术 措施 来 保证 安全 。 


2) 对 信息 泄露 风险 的 防护 

根据 网 络 模式 、 安 全 保密 需求 等 具体 情况 的 不 同 ,用 户 权 限 的 管理 在 各 应 用 场合 的 要 求 
也 不 同 。 在 安全 保密 要 求 较 高 的 部 门 ,客户 机 的 IO 端口 应 该 是 受到 控制 的 。 通 常 可 利用 
相关 安全 产品 对 客户 机 的 光驱 、USB 口 .COM 口 `.LPT 口 以 及 打印 机 (本 地 打印 机 和 网 络 
打印 机 ) 等 IO 端口 进行 使 用 权限 控制 。 同 时 出 于 安全 性 和 保护 内 部 机 密 的 需要 ,要 求 相 
关 安 全 产品 提供 审计 功能 以 加 强 对 内 部 网 络 中 客户 机 的 监控 和 管理 。 就 审计 功能 而 言 ,可 
以 有 如 下 审计 内 容 。 

。 审计 客户 机 的 身份 认证 内 容 , 如 每 天 用 户 登录 尝试 次 数 、 登 录 时 间 等 信息 。 

。 审计 客户 机 与 移动 存储 设备 间 的 文件 操作 ,包括 复制 .删除 . 剪 切 、 粘 贴 .文件 另存 

为 等 。 
。 审计 客户 机 的 打印 机 使 用 情况 ,记录 打印 文件 名 称 、 打 印 时 间 、 打 印 页 数 等 信息 。 
。 禁止 客户 机 以 无 线 方式 接 人 互联 网 ,并 部 署 审计 策略 记录 客户 机 未 成 功 的 联网 
行为 。 

3) 对 内 部 攻击 风险 的 防护 

对 于 来 自 内 部 网 络 的 攻击 ,除了 加 强 口令 强度 预防 外 ,还 应 采取 及 时 安装 系统 补丁 、 进 
行 策略 设置 和 安装 病毒 防护 系统 等 安全 措施 。 

4) 对 移动 存储 介质 风险 的 防护 

为 了 降低 移动 存储 介质 带 来 的 安全 风险 ,应 在 企业 内 部 对 所 有 移动 存储 介质 进行 统一 
管理 。 对 不 同 的 存储 介质 采取 不 同 的 技术 和 管理 措施 。 通 过 技术 手段 使 外 来 移动 存储 介质 
无 法 接 和 人 企业 内 部 网 ,内 部 网 中 认证 过 的 移动 存储 介质 也 仅 能 在 授权 的 客户 机 上 使 用 ,对 涉 
密 的 移动 存储 介质 应 采取 加 密 等 技术 使 其 在 授权 之 外 的 计算 机 上 无 法 使 用 .以 降低 因 介 质 
丢失 或 管理 不 严 带 来 的 安全 风险 。 


习题 和 思考 题 


-、 简 答题 

. 解释 网 络 系统 安全 中 砚 余 的 含义 及 元 余 的 目的 。 
. 什么 是 服务 器 镜像 7 什么 是 端口 汇聚 ? 

. 网 络 设备 元 余 有 哪些 措施 ? 

简 述 路 由 器 访问 控制 的 安全 策略 。 

. 简 述 服务 器 的 安全 策略 。 

. 简 述 客户 机 实体 安全 和 系统 安全 策略 。 

. 列举 几 种 网 络 上 常用 的 服务 器 。 

. 简 述 机 房 环境 及 场地 的 选择 考虑 。 

. 简 述 机 房 的 防火 和 防水 。 

0. 简 述 机 房 的 静电 防护 。 

. 简 述 机 房 的 电磁 干扰 和 电磁 辐射 的 概念 和 二 者 之 间 的 区 别 。 
. 什么 是 NAT? 简 述 NAT 的 应 用 。 

3. 什么 是 VRRP? 它 的 作用 是 什么 ? 
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14. 客户 机 的 安全 策略 有 哪些 ? 

二 、 填空 题 

1. 网 络 服务 器 宛 余 措施 有 ( ) 宛 余 ( ) 元 余 和 ( ) 宛 余 等 。 

2. 网 络 设备 的 宛 余 措施 有 ( ) 宛 余 ( ) 宛 余 ( ) 宛 余 和 ( ) 元 余 等 。 

3. 网 络 机 房 的 保护 通常 包括 机 房 的 ( Dt ) . 防 雷 和 接地 、( ) 防盗、 防震 等 
措施 。 

4. 一 般 情况 下 ,机 房 的 温度 应 控制 在 (  )"C ,机 房 相 对 湿度 应 为 ( )%~(  )%。 

5. 宛 余 就 是 ( ) ,以 保证 系统 更 加 可 靠 、 安 全 地 工作 。 

6. 网 络 系统 的 主要 设备 有 ( js yk ) 和 ( ) 等 。 
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. 路 由 选择 算法 可 分 为 ( ) 路 由 选择 算法 和 ( ) 路 由 选择 算法 两 大 类 。 
. 网络 服务 器 有 ( ) Dax ) 和 ( ) 服 务 器 等 。 
.Interent 应 用 服务 器 有 ( JS i ) 和 ( ) 等 。 


三 、 选 择 题 
1. 双 机 热 备份 是 采用 了 两 个 ( 入 
A. 服务 器 互 为 备份 B. 硬盘 互 为 镜像 
C. 磁盘 互 为 镜像 D. 客户 机 互 为 备份 
2. 以 下 ( ) 是 网 络 供电 系统 的 宛 余 措施 。 
A. WPS B. PGP C. USB D. UPS 
3. 触摸 机 器 时 人 手 会 有 一 种 麻 酥 酥 的 感觉 ,这 是 由 ( ) 现 象 引起 的 。 
A. 电磁 辐射 B. 静电 C. 电磁 干扰 D. 潮湿 


4 ) 是 网 络 系统 的 互联 设备 。 
A. 服务 器 B. 交换 机 C. 路 由 器 D. 客户 机 








第 4 章 网 络 数据 库 与 数据 安全 


本 章 要 点 

。 网 络 数 据 库 安全 概述 ; 

。 网 络 数据 库 的 安全 特性 和 策略 ; 
。 网 络 数据 库 用 户 管理 ; 

。 数据 备份 ,恢复 和 容 灾 ; 

。 大 数据 及 其 安全 。 


在 当今 信息 时 代 , 几 乎 所 有 企 事业 单位 的 核心 业务 处 理 都 依赖 于 计算 机 网 络 系统 。 在 
计算 机 网 络 系统 中 最 为 宝贵 的 就 是 数据 。 

数据 在 计算 机 网 络 中 具有 两 种 状态 , 即 存储 状态 和 传输 状态 。 当 数据 在 网 络 系统 数据 
库 中 保存 时 ,处 于 存储 状态 ; 而 在 与 其 他 用 户 或 系统 交换 时 ,数据 处 于 传输 状态 。 无 论 是 数 
据 处 于 存储 状态 还 是 传输 状态 ,都 可 能 会 受到 安全 威胁 。 要 保证 企 事 业 单 位 的 业务 能 够 持 
续 成 功 地 运作 ,就 要 保护 数据 库 系 统 中 的 数据 安全 。 


4.1 网 络 数据 库 安全 概述 


保证 网 络 系统 中 数据 安全 的 主要 任务 就 是 使 数据 免 受 各 种 因素 的 影响 ,保护 数据 的 完 
整 性 ,保密 性 和 可 用 性。 

人 为 的 错误 、 硬 盘 的 损毁 .计算 机 病毒 .自然 灾难 等 都 有 可 能 造成 数据 库 中 数据 的 丢失 ， 
给 企 事业 单位 造成 无 可 估量 的 损失 。 如 果 丢 失 了 系统 文件 、 客 户 资料 ,技术 文档 、 人 事 档案 、 
财务 账目 等 文件 , 企 事业 单位 的 业务 将 难以 正常 进行 。 因 此 , 企 事业 单位 管理 者 应 采取 有 效 
的 数据 库 保护 措施 ,使 得 灾难 发 生 后 ,能够 尽快 地 恢复 系统 中 的 数据 ,进而 恢复 系统 的 正常 
运行 。 

为 了 保护 数据 安全 ,可 以 采用 很 多 安全 技术 和 措施 。 这 些 技术 和 措施 主要 有 数据 完整 
性 技术 ,数据 备份 和 恢复 技术 .数据 加 密 技 术 、 访 问 控制 技术 ,用 户 管理 和 身份 验证 技术 等 。 


4.1.1 数据 库 安 全 的 概念 

数据 库 安全 是 指数 据 库 的 任何 部 分 都 不 允许 受到 侵害 ,或 未 经 授权 的 存 取 和 修改 。 数 
据 库 安全 性 问题 一 直 是 数据 库 管理 员 所 关心 的 问题 。 

1. 数据 库 安全 

数据 库 就 是 一 种 结构 化 的 数据 仓库 。 人 们 时 刻 都 在 和 数据 打交道 。 对 于 少量 .简单 的 
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数据 ,如 果 与 其 他 数据 之 间 的 关联 较 少 或 没有 关联 , 则 可 将 它们 简单 地 存放 在 文件 中 。 普 通 
记录 文件 没有 系统 结构 来 系统 地 反映 数据 间 的 复杂 关系 , 它 也 不 能 强制 定义 个 别 数据 对 象 。 
但 是 企 事业 单位 的 数据 都 是 相关 联 的 ,不 可 能 使 用 普通 的 记录 文件 来 管理 大 量 的 、 复 杂 的 系 
列 数据 ,例如 银行 的 客户 数据 或 生产 厂商 的 生产 控制 数据 等 。 

数据 库 安全 主要 包括 数据 库 系 统 的 安全 和 数据 库 数据 的 安全 两 层 含义 。 

(1) 第 一 层 含义 是 数据 库 系统 的 安全 。 数 据 库 系 统 安全 是 指 在 系统 级 控制 数据 库 的 存 
取 和 使 用 的 机 制 ,应 尽 可 能 地 堵 住 潜在 的 各 种 漏洞 .防止 非法 用 户 利用 这 些 漏洞 侵 和 人 数据库 
系统 ; 保证 数据 库 系统 不 因 软 硬件 故障 及 灾害 的 影响 而 使 系统 不 能 正常 运行 。 数 据 库 系统 
安全 包括 : 

。 硬件 运行 安全 。 

。 物理 控制 安全 。 

。 操作 系统 安全 。 

。 用 户 有 可 连接 数据 库 的 授权 。 

。 灾害、 故障 恢复 。 

(2) 第 二 层 含义 是 数据 库 数 据 的 安全 。 数 据 库 数据 安全 是 指 在 对 象 级 控制 数据 库 的 存 
取 和 使 用 的 机 制 ,规定 哪些 用 户 可 存 取 指定 的 模式 对 象 及 在 对 象 上 允许 有 哪些 操作 。 数 据 
库 数据 安全 包括 : 

。 有 效 的 用 户 名 /口令 鉴别 。 

。 用 户 访问 权限 控制 。 

。 数据 存 取 权 限 .方式 控制 。 

。 审计 跟踪 。 

。 数据 加 密 。 

。 防止 电磁 信息 泄露 。 

数据 库 数 据 的 安全 措施 应 能 确保 在 数据 库 系 统 关 闭 后 , 当 数 据 库 数据 存储 媒体 被 破 
坏 或 当 数 据 库 用 户 误 操作 时 ,数据 库 数 据 信息 不 会 丢失 。 对 于 数据 库 数据 的 安全 问题 ， 
数据 库 管理 员 可 以 采用 系统 双 机 热 备份 .数据 库 的 备份 和 恢复 .数据 加 密 、 访 问 控制 等 
措施 。 

2. 数据 库 安 全 管理 原则 

一 个 强大 的 数据 库 安全 系统 应 当 确 保 其 中 信息 的 安全 性 ,并 对 其 进行 有 效 的 管理 控制 。 
下 面 几 项 数据 库 管 理 原 则 有 助 于 企 事业 单位 在 安全 规划 中 实现 对 数据 库 的 安全 保护 。 

1) 管理 细 分 和 委派 原则 

在 数据 库 工 作 环境 中 ,数据库 管理 员 (DBA) 一 般 都 是 独立 执行 数据 库 的 管理 和 其 他 事 
务工 作 ,一 旦 出 现 岗 位 变换 ,将 带 来 一 连 串 的 问题 。 通 过 管理 责任 细 分 和 任务 委派 ,DBA 可 
从 常规 事务 中 解脱 出 来 ,更 多 地 关注 于 解决 数据 库 的 执行 效率 及 管理 方面 的 重要 问题 ,从 而 
保证 任务 的 高 效 完成 。 企 事业 单位 应 设法 通过 功能 和 可 信赖 的 用 户 群 进 一 步 细 分 数据 库 管 
理 的 责任 和 角色 。 

2) 最 小 权限 原则 

单位 必须 本 着 最 小 权限 原则 ,从 需求 和 工作 职能 两 方面 严格 限制 对 数据 库 的 访问 。 通 
过 角色 的 合理 运用 ,最 小 权限 可 确保 数据 库 功能 限制 和 特定 数据 的 访问 。 








3) 账号 安全 原则 

对 于 每 一 个 数据 库 连接 来 说 ,用 户 账号 都 是 必须 设立 的 。 账 号 的 设立 应 遵循 传统 的 用 
户 账号 的 管理 方法 来 进行 安全 管理 ,这 包括 密码 的 设 定 和 更 改 、 账 号 锁定 、 对 数据 提供 有 限 
的 访问 权限 、 禁 止 休眠 状态 的 账户 ` 设 定 账户 的 生命 周期 等 。 

4) 有 效 审计 原则 

数据 库 审 计 是 数据 库 安全 的 基本 要 求 , 它 可 用 来 监视 各 用 户 对 数据 库 实 施 的 操作 。 单 
位 应 根据 自己 的 应 用 和 数据 库 活动 定义 审计 策略 。 条 件 允 许 的 地 方 可 采取 智能 审计 ,这 样 
不 仅 能 节约 时 间 ,而 且 能 减少 执行 审计 的 范围 和 对 象 。 通 过 智能 限制 日 志 大 小 ,还 能 突出 更 
加 关键 的 安全 事件 。 


4.1.2 数据 库 安全 面临 的 威胁 


大 多 数 企 事 业 单位 及 政府 部 门 的 电子 数据 都 保存 在 各 种 数据 库 中 。 他 们 用 这 些 数据 库 
保存 一 些 敏 感 信息 ,例如 员工 工资 .医疗 记录 、 员 工 个 人 资料 等 。 数 据 库 服务 器 还 掌握 着 敏 
感 的 金融 数据 ,包括 交易 记录 、 商 业 事务 和 账号 数据 ,以 及 战略 上 的 或 者 专业 的 信息 ,如 专利 
和 工程 数据 ,甚至 市 场 计划 等 应 该 保护 起 来 防止 竞争 者 和 其 他 非法 者 获取 的 资料 。 

1. 数据 库 的 安全 漏洞 和 缺陷 

常见 的 数据 库 的 安全 漏洞 和 缺陷 有 以 下 几 种 。 

(1) 数据 库 应 用 程序 通常 都 同 操作 系统 的 最 高 管理 员 密切 相关 。 如 Oracle、Sybase 和 
SQL Server 数据 库 系统 都 涉及 用 户 账 号 和 密码 .认证 系统 、 授 权 模块 和 数据 对 象 的 许可 控 
制 . 内 置 命令 (存储 过 程 )、 特 定 的 脚本 和 程序 语言 .中 间 件 、 网 络 协议 补丁 和 服务 包 数据 库 
管理 和 开发 工具 等 。 许 多 DBA 都 把 全 部 精力 投入 到 管理 这 些 复杂 的 系统 中 。 安 全 漏洞 和 
不 当 的 配置 通常 会 造成 严重 的 后 果 , 且 都 难以 被 发 现 。 

(2) 人 们 对 数据 库 安全 的 忽视 。 人 们 认为 只 要 把 网 络 和 操作 系统 的 安全 做 好 了 ,所 有 
的 应 用 程序 也 就 安全 了 。 但 现在 的 数据 库 系统 会 有 很 多 方面 被 误 用 或 者 存在 漏洞 影响 到 安 
全 。 而 且 常 用 的 关系 型 数据 库 都 是 “端口 "型 的 ,这 就 表示 任何 人 都 有 可 能 绕 过 操作 系统 的 
安全 机 制 , 利 用 分 析 工 具 连 接 到 数据 库 上 。 

(3) 部 分 数据 库 机 制 威胁 网 络 低层 安全 。 如 某 公司 的 数据 库 中 保存 着 所 有 的 技术 文 
档 、 手 册 和 白皮书 ,但 却 不 重视 数据 库 的 安全 性 。 这 样 ,即使 运行 在 一 个 非常 安全 的 操作 系 
统 上 ,入 侵 者 也 很 容易 通过 数据 库 获 得 操作 系统 权限 。 这 些 存储 过 程 能 提供 一 些 执行 操作 
系统 命令 的 接口 ,而 且 能 访问 所 有 的 系统 资源 ,如 果 该 数据 库 服 务 器 还 同 其 他 服务 器 建立 信 
任 关系 ,那么 ,入 侵 者 就 能 够 对 整个 域 产 生 严 重 的 安全 威胁 。 因 此 ,少数 数据 库 的 安全 漏洞 
不 仅 威 胁 数据 库 的 安全 ,也 威胁 到 操作 系统 和 其 他 可 信任 系统 的 安全 。 

(4) 安全 特性 缺陷 。 大 多 数 关系 型 数据 库 已 经 存在 很 多 年 了 ,都 是 成 熟 的 产品 。 但 IT 
业界 和 安全 专家 对 网 络 和 操作 系统 要 求 的 许多 安全 特性 在 多 数 关系 数据 库 上 还 没有 被 
使 用 。 

(5) 数据 库 密 码 容 易 汇 露 。 多 数 数据 库 提供 的 基本 安全 特性 ,都 没有 相应 的 机 制 来 限 
制 用 户 必须 选择 健壮 的 密码 。 许 多 系统 密码 都 能 给 入 侵 者 完全 访问 数据 库 的 机 会 ,更 有 其 
者 ,有 些 密 码 就 储存 在 操作 系统 的 普通 文本 文件 中 。 

(6) 操作 系统 后 门 。 多 数 数据 库 系 统 都 会 有 一 些 特性 ,来 满足 数据 库 管 理 员 的 需要 ,这 | 章 
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些 特性 也 成 为 数据 库 主机 操作 系统 的 后 门 。 

(7) 木马 的 威胁 。 著 名 的 木马 病毒 能 够 在 密码 改变 存储 过 程 时 修改 密码 ,并 能 告知 入 
侵 者 。 例 如 添加 几 行 信息 到 sp_password 中 ,记录 新 账号 到 库 表 中 ,通过 E-mail 发 送 这 个 
密码 ,或 者 写 到 文件 中 以 后 使 用 等 。 

2. 对 数据 库 的 威胁 形式 

对 数据 库 构成 的 威胁 主要 有 算 改 .损坏 和 窃取 三 种 表现 形式 。 

(1) 算 改 。 所 谓 自 改 ,是 指 对 数据 库 中 的 数据 未 经 授权 进行 的 修改 ,使 其 失去 原来 的 真 
实 性 。 算 改 的 形式 具有 多 样 性 ,但 有 一 点 是 明确 的 ,就 是 在 造成 影响 之 前 很 难 被 发 现 。 算 改 
是 由 于 人 为 因素 而 产生 的 。 一 般 来 说 ,发 生 这 种 人 为 威胁 的 原因 主要 有 个 人 利益 驱动 .隐藏 
证 据 、 恶作剧 和 无 知 等 。 

(2) 损坏 。 网 络 系统 中 数据 的 损坏 是 数据 库 安 全 性 所 面临 的 威胁 之 一 。 其 表现 形式 
为 : 表 和 整个 数据 库 部 分 或 全 部 被 删除 、 移 走 或 破坏 。 产 生 这 种 威胁 的 原因 主要 有 破坏 、 恶 
作 剧 和 病毒 。 破 坏 往 往 都 带 有 明确 的 作案 动机 ,恶作剧 者 往往 是 出 于 兴趣 或 好 奇 而 给 数据 
造成 损坏 ,计算 机 病毒 不 仅 对 系统 文件 进行 破坏 .也 对 数据 文件 进行 破坏 。 

(3) 窃取 。 窃 取 一 般 是 对 敏感 数据 进行 的 。 窃 取 的 手法 除了 将 数据 复制 到 软盘 之 类 的 
可 移动 介质 上 外 ,也 可 以 把 数据 打印 后 取 走 。 导 致 窃取 威胁 的 因素 有 工商 业 间 谍 不 满 和 要 
离开 的 员工 、 被 窃 的 数据 可 能 比 想象 中 的 更 有 价值 等 。 

3. 数据 库 安 全 的 威胁 来 源 

数据 库 安全 的 威胁 主要 来 自 以 下 几 个 方面 。 

(1) 物理 和 环境 的 因素 。 如 物理 设备 的 损坏 ,设备 的 机 械 和 电气 故障 ,火灾 、 水 灾 , 以 及 
丢失 磁盘 磁带 等 。 

(2) 事务 内 部 故障 。 数 据 库 “事务 "是 数据 操作 的 并 发 控制 单位 ,是 一 个 不 可 分 割 的 操 
作 序 列 。 数 据 库 事务 内 部 的 故障 多 发 生 于 数据 的 不 一 致 性 ,主要 表现 有 丢失 修改 ,不 能 重复 
读 、 无 用 数据 的 读 出 。 

(3) 系统 故障 。 系 统 故 障 又 称 软 故障 ,是 指 系统 突然 停止 运行 时 造成 的 数据 库 故 障 。 
这 些 故障 不 破坏 数据 库 , 但 影响 正在 运行 的 所 有 事务 ,因为 缓冲 区 中 的 内 容 会 全 部 丢失 , 运 
行 的 事务 非 正 常 终 止 , 从 而 造成 数据 库 处 于 一 种 不 正确 的 状态 。 

(4) 介质 故障 。 介 质 故 障 又 称 硬 故障 ,主要 指 外 存储 器 故障 。 如 磁盘 磁头 碰撞 ,瞬时 的 
强 磁场 干扰 等 。 这 类 故障 会 破坏 数据 库 或 部 分 数据 库 , 并 影响 正在 使 用 数据 库 的 所 有 事务 。 

(5) 并 发 事件 。 在 数据 库 实 现 多 用 户 共享 数据 时 ,可 能 由 于 多 个 用 户 同 时 对 一 组 数据 
的 不 同 访问 而 使 数据 出 现 不 一 致 的 现象 。 

(6) 人 为 破坏 。 某 些 人 为 了 某 种 目的 故意 破坏 数据 库 。 

(7) 病毒 与 黑客 。 病 毒 可 破坏 网 络 中 的 数据 ,使 计算 机 处 于 不 正确 或 瘫痪 的 状态 ; 黑 
客 是 一 些 精通 计算 机 网 络 和 软 \ 硬 件 的 计算 机 操作 者 ,他 们 往往 利用 非法 手段 取得 相关 授 
权 , 非 法 地 读 取 甚至 修改 其 他 网 络 数据 。 黑 客 的 攻击 和 系统 病毒 发 作 可 造成 对 数据 保密 性 
和 数据 完整 性 的 破坏 。 

此 外 ,数据 库 系 统 威胁 还 有 未 经 授权 非法 访问 或 非法 修改 数据 库 的 信息 ,窃取 数据 库 数 
据 或 使 数据 失去 真实 性 ; 对 数据 不 正确 的 访问 ,引起 数据 库 中 数据 的 错误 ; 网 络 及 数据 库 
的 安全 级 别 不 能 满足 应 用 的 要 求 ; 网 络 和 数据 库 的 设置 错误 和 管理 混乱 造成 越权 访问 和 越 

















权 使 用 数据 。 


4.2 网 络 数据 库 的 安全 特性 和 策略 


为 了 保证 数据 库 数据 的 安全 可 靠 和 正确 有 效 ,DBMS( 数 据 库 管理 系统 ) 必 须 提供 统一 
的 数据 保护 功能 。 数 据 保护 也 称 为 数据 控制 ,主要 包括 数据 库 的 安全 性 、 完 整 性 、 并 发 控制 
和 恢复 。 下 面 以 多 用 户 数据 库 系统 Oracle 为 例 , 阐 述 数 据 库 的 安全 特性 。 


4.2.1 数据 库 的 安全 特性 


数据 库 安 全 是 指 保护 数据 库 以 防止 不 合法 的 使 用 所 造成 的 数据 泄露 更改 或 破坏 。 在 
数据 库 系统 中 有 大 量 的 网 络 系统 数据 集中 存放 ,为 许多 用 户 所 共享 ,这样 就 使 安全 问题 更 为 
突出 。 在 一 般 的 网 络 系统 中 ,安全 措施 是 逐 级 设置 的 。 

1. 数据 库 的 存 取 控 制 

数据 库 系 统 可 提供 数据 存 取 控制 来 实施 数据 保护 。 

1) 数据 库 的 安全 机 制 

多 用 户 数 据 库 系统 (如 Oracle) 提 供 的 安全 机 制 可 做 到 : 

。 防止 非 授 权 的 数据 库存 取 。 

。 防止 非 授权 的 对 模式 对 象 的 存 取 。 

。 控制 磁盘 使 用 。 

。 控制 系统 资源 使 用 。 

。 审计 用 户 动作 。 

在 Oracle 服务 器 上 提供 了 一 种 任意 存 取 控 制 , 这 是 一 种 基于 特权 限制 信息 存 取 的 方 
法 。 用 户 要 存 取 某 一 对 象 必须 有 相应 的 特权 授予 该 用 户 。 已 授权 的 用 户 可 任意 地 将 它 授 权 
给 其 他 用 户 。 

Oracle 保护 信息 的 方法 是 采用 任意 存 取 控制 来 控制 全 部 用 户 对 命名 对 象 的 存 取 。 用 
户 对 对 象 的 存 取 受 特权 控制 ,一 种 特权 是 存 取 一 个 命名 对 象 的 许可 ,为 一 种 规定 格式 。 

2) 模式 和 用 户 机 制 

Oracle 使 用 多 种 不 同 的 机 制 来 管理 数据 库 的 安全 性 ,其 中 有 模式 和 用 户 两 种 机 制 。 

模式 机 制 : 模式 为 模式 对 象 的 集合 ,模式 对 象 如 表 、 视 图 、 过 程 和 包 等 。 
用 户 机 制 : 每 一 个 Oracle 数据 库 都 有 一 组 合法 的 用 户 ,可 运行 一 个 数据 库 应 用 和 使 
用 该 用 户 连接 到 定义 该 用 户 的 数据 库 。 当 建立 一 个 数据 库 用 户 时 ,对 该 用 户 建 立 一 
个 相应 的 模式 ,模式 名 与 用 户 名 相同 。 一 旦 用 户 连接 一 个 数据 库 , 该 用 户 就 可 存 取 
相应 模式 中 的 全 部 对 象 ,一 个 用 户 仅 与 同名 的 模式 相 联 系 , 所 以 用 户 和 模式 是 类 
似 的 。 

2. 特权 和 角色 

1) 特权 

特权 是 执行 一 种 特殊 类 型 的 SQL 语句 或 存 取 另 一 用 户 对 象 的 权力 ,有 系统 特权 和 对 象 
特权 两 类 特权 。 

。 系统 特权 : 系统 特权 是 执行 一 种 特殊 动作 或 者 在 对 象 类 型 上 执行 一 种 特殊 动作 的 
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权力 。 系 统 特权 可 授权 给 用 户 或 角色 。 系 统 可 将 授予 用 户 的 系统 特权 授 给 其 他 用 
户 或 角色 。 同 样 , 系 统 也 可 从 那些 被 授权 的 用 户 或 角色 处 收回 系统 特权 。 

。 对 象 特权 : 对 象 特权 是 指 在 表 、 视 图 .序列 .过 程 、 函 数 或 包 上 执行 特殊 动作 的 权力 。 
对 于 不 同类 型 的 对 象 ,有 不 同类 型 的 对 象 特权 。 

2) 角色 

角色 是 相关 特权 的 命名 组 。 数 据 库 系统 利用 角色 可 以 更 容易 地 进行 特权 管理 。 建 立 角 

色 通 常 有 两 个 目的 : 一 是 为 数据 库 应 用 管理 特权 ; 二 是 为 用 户 组 管理 特权 。 

(1) 角色 管理 的 优点 

。 减少 特权 管理 。 

。 动态 特权 管理 。 

。 特权 的 选择 可 用 性 。 

。 应 用 可 知性 。 

。 专门 的 应 用 安全 性 。 

(2) 数据 库 角 色 的 功能 

。 一 个 角色 可 被 授予 系统 特权 或 对 象 特权 。 

。 一 个 角色 可 授权 给 其 他 角色 ,但 不 能 循环 授权 。 

。 任何 角色 可 授权 给 任何 数据 库 用 户 。 

。 授权 给 一 个 用 户 的 每 一 角色 可 以 是 可 用 的 ,也 可 是 不 可 用 的 。 

。 一 个 间接 授权 角色 (授权 给 另 一 角色 的 角色 ) 对 一 个 用 户 可 明确 其 可 用 或 不 可 用 。 

。 在 一 个 数据 库 中 ,每 一 个 角色 名 都 是 唯一 的 。 


4.2.2 网 络 数 据 库 的 安全 策略 


为 保证 网 络 数据 库 的 安全 ,在 保证 网 络 操作 系统 和 数据 库 服 务 器 系统 安全 的 基础 上 ,还 
要 采取 如 下 安全 策略 。 

1. 用 户 身份 验证 访问 控制 

用 户 身 份 验证 是 保护 数据 库 安全 的 第 一 道 安 全 保护 闸门 。 授 权 用 户 进入 数据 库 系 统 时 
需要 进行 身份 验证 ,防止 非 授 权 用 户 进入 数据 库 对 数据 信息 进行 破坏 、 瓷 取 等 。 目 前 使 用 最 
多 的 身份 验证 方法 是 设置 用 户 名 和 密码 , 随 着 各 种 新 技术 的 出 现 , 更 高 级 别 的 验证 方法 也 在 
逐步 应 用 ,如 智能 IC 卡 、 指 纹 识别 等 。 

访问 控制 是 指 对 已 经 进入 系统 的 用 户 进行 访问 权限 的 控制 ,可 防止 系统 安全 漏洞 。 访 
问 控 制 限定 数据 库 中 的 数据 能 被 哪些 用 户 访问 ,同一 数据 对 象 分 配 不 同 用 户 不 同 的 访问 方 
式 , 如 查询 和 增删 \ 改 等 。 

2. 数据 库 审 计 

对 数据 库 系统 的 操作 审计 是 记录 、 检 查 和 回顾 对 数据 库 系 统 进行 所 有 相关 操作 的 行为 ， 
是 保证 数据 库 安全 的 补救 措施 。 审 计 的 主要 任务 是 对 用 户 及 应 用 程序 使 用 系统 资源 (包括 
软 硬 件 或 数据 ) 的 情况 进行 记录 和 审查 ,一 旦 出 现 问题 ,审计 人 员 可 以 通过 审计 跟踪 找 出 问 
题 的 所 在 ,追查 相关 责任 人 ,防止 问题 再 度 发 生 。 审 计 过 程 不 可 省 略 , 审 计 记 录 应 该 得 到 保 
护 且 不 能 轻易 更 改 。 

数据 库 系统 的 审计 工作 主要 是 审查 系统 资源 的 安全 策略 ,安全 保护 措施 和 故障 恢复 计 








划 等 ,对 系统 的 各 种 操作 如 访问 .查询 和 修改 ,尤其 是 对 敏感 操作 进行 记录 、 分 析 , 对 发 生 的 
攻击 性 操作 和 可 能 危害 系统 安全 的 事件 进行 检测 和 审计 。 审 计 主 要 有 语句 审计 、 特 权 审 计 、 
模式 对 象 审计 和 资源 审计 等 。 

对 于 数据 库 系统 ,数据 的 使 用 .记录 和 审计 是 同时 进行 的 。 审 计 的 主要 任务 是 对 应 用 程 
序 或 用 户 使 用 数据 库 资 源 的 情况 进行 记录 和 审查 ,一 旦 出 现 问题 ,审计 人 员 可 以 对 审计 事件 
记录 进行 分 析 , 查 出 原因 。 

安全 系统 的 审计 过 程 是 记录 、 检 查 和 回顾 系统 安全 相关 行为 的 过 程 。 通 过 对 审计 记录 
的 分 析 , 可 以 明确 责任 个 体 , 追 查 违反 安全 策略 的 违规 行为 。 审 计 过 程 不 可 省 略 , 审 计 记录 
也 不 可 更 改 或 删除 。 

由 于 审计 行为 将 影响 DBMS 的 存 取 速度 和 反馈 时 间 , 因 此 ,必须 综合 考虑 安全 性 与 系 
统 性 能 ,需要 提供 配置 审计 事件 的 机 制 , 以 允许 DBA 根据 具体 系统 的 安全 性 和 性 能 需求 做 
出 选择 。 这 些 可 由 多 种 方法 实现 ,如 扩充 、 打 开 / 关 闭 审计 的 SQL 语句 ,或 使 用 审计 掩 码 等 。 

数据 库 审计 有 用 户 审计 和 系统 审计 两 种 方式 。 

(1) 用 户 审 计 。 进 行 用 户 审 计时 ,DBMS 的 审计 系统 会 记录 下 所 有 对 表 和 视图 进行 访 
问 的 目的 ,以 及 每 次 操作 的 用 户 名 、 时 间 、 操 作 代 码 等 信息 。 这 些 信 息 一 般 都 被 记录 在 数据 
字典 中 ,利用 这 些 信息 可 进行 审计 分 析 。 

(2) 系统 审计 。 系 统 审计 由 系统 管理 员 执 行 , 其 审计 内 容 主 要 是 系统 一 级 命令 及 数据 
库 客体 的 使 用 情况 。 

数据 库 系统 的 审计 工作 主要 包括 设备 安全 审计 、 操 作 审 计 、 应 用 审计 和 攻击 审计 等 方 
面 。 设 备 安全 审计 主要 审查 系统 资源 的 安全 策略 .安全 保护 措施 和 故障 恢复 计划 等 ; 操作 
审计 可 对 系统 的 各 种 操作 进行 记录 和 分 析 ; 应 用 审计 可 审计 建立 于 数据 库 上 整个 应 用 系统 
的 功能 ,控制 逻辑 和 数据 流 是 否 正确 ; 攻击 审计 可 对 已 发 生 的 攻击 性 操作 和 危害 系统 安全 
的 事件 进行 检查 和 审计 。 

3. 数据 库 恢 复 

当 人 们 使 用 数据 库 时 ,总 希望 数据 库 的 内 容 是 可 靠 的 ,正确 的 ,但 由 于 网 络 系统 的 故障 
(硬件 故障 ,软件 故障 、 网 络 故 障 、 进 程 故 障 和 系统 故障 等 ) 会 影响 数据 库 系统 的 操作 以 及 数 
据 库 中 数据 的 正确 性 ,甚至 破坏 数据 库 , 使 数据 库 中 全 部 或 部 分 数据 丢失 。 因 此 当 发 生 上 述 
故障 后 ,希望 能 尽快 恢复 到 原 数据 库 状 态 或 重新 建立 一 个 完整 的 数据 库 , 这 就 是 数据 库 恢 
复 。 具体 的 恢复 处 理 随 所 发 生 的 故障 类 型 及 所 影响 的 情况 和 结果 而 变化 。 

1) 操作 系统 备份 

不 管 为 Oracle 数据 库 设 计 成 什么 样 的 恢复 模式 ,数据库 中 的 数据 文件 ,日 志文 件 和 控 
制 文件 的 操作 系统 备份 都 是 绝对 需要 的 , 它 是 保护 介质 故障 的 策略 。 操 作 系 统 备 份 有 完全 
备份 和 部 分 备份 两 种 方式 。 

(1) 完全 备份 。 一 个 完全 备份 将 构成 Oracle 数据 库 的 全 部 数据 库 文件 、 在 线 日 志文 件 
和 控制 文件 的 一 个 操作 系统 备份 。 完 全 备份 要 在 数据 库 正 常 关 闭 之 后 进行 ,不 能 在 发 生 故 
障 后 数据 库 打开 的 状态 下 进行 。 由 完全 备份 得 到 的 数据 文件 在 任何 类 型 的 介质 恢复 模式 中 
都 是 有 用 的 。 

(2) 部 分 备份 。 部 分 备份 是 除 完全 备份 外 的 任何 操作 系统 备份 ,可 在 数据 库 打开 或 关 | 第 
闭 的 状态 下 进行 。 如 单个 表 空 间 中 全 部 数据 文件 的 备份 .单个 数据 文件 的 备份 和 控制 文件 | 章 








网 络 数 据 亩 与 数据 安全 


计算 机 网 给 安 会 (第 3 版 ) 





的 备份 。 部 分 备份 仅 对 在 归档 日 志方 式 下 运行 的 数据 库 有 用 ,数据 文件 可 由 部 分 备份 恢复 ， 
在 恢复 过 程 中 与 数据 库 中 的 其 他 部 分 一 致 

通过 正规 备份 ,并 且 快 速 地 将 备份 介质 运送 到 安全 的 地 方 ,数据 库 就 能 够 在 大 多 数 的 灾 
难 中 得 到 恢复 。 由 于 不 可 预知 的 物理 灾难 ,一 个 完全 的 数据 库 恢 复 可 以 使 数据 库 映像 恢复 
到 尽 可 能 接近 灾难 发 生 时 间 点 的 状态 。 对 于 逻辑 灾难 ,如 入 为 破坏 或 应 用 故障 ,数据 库 映 像 
应 该 恢复 到 错误 发 生前 的 那 一 点 。 

在 一 个 数据 库 的 完全 恢复 过 程 中 ,基点 后 所 有 日 志 中 的 事务 被 重新 应 用 ,所 以 结果 就 是 
一 个 数据 库 映 像 反映 所 有 在 灾难 前 已 接受 的 事务 ,而 没有 被 接受 的 事务 则 不 被 反映 。 数 据 
库 恢复 可 以 恢复 到 错误 发 生前 的 最 后 一 个 时 刻 。 

2) 介质 故障 的 恢复 

介质 故障 是 当 一 个 文件 文件 的 一 部 分 或 一 块 磁盘 不 能 读 时 出 现 的 故障 。 介 质 故 障 的 
恢复 有 以 下 两 种 形式 ,采取 哪 种 方式 ,取决 于 数据 库 运行 的 归档 方式 。 

(1) 如 果 数 据 库 是 可 运行 的 ,但 其 在 线 日 志 仅 可 重用 而 不 能 归档 ,此 时 介质 恢复 可 使 用 
完全 备份 的 简单 恢复 。 

(2) 如 果 数 据 库 可 运行 且 其 在 线 日 志 是 可 归档 的 , 则 该 介质 故障 的 恢复 是 一 个 实际 恢 
复 过 程 , 重 构 受 损 的 数据 库 ,恢复 到 介质 故障 前 的 一 个 指定 事务 状态 。 

不 管 哪 种 方式 ,介质 故障 的 恢复 总 是 将 整个 数据 库 恢复 到 故障 前 的 一 个 事务 状态 。 

4. 数据 加 密 处 理 

数据 加 密 是 将 数据 库 中 的 数据 按 特 定 的 加 密 算法 变换 成 密 文 数据 ,是 防止 数据 泄露 的 
有 效 手段 。 数 据 库 中 的 数据 加 密 不 同 于 传统 的 加 密 技术 ,传统 的 加 密 是 以 报 文 为 单位 ,加 密 
解密 都 按 顺序 从 头 至 尾 进行 。 而 如 果 数 据 库 中 的 数据 加 密 可 以 对 数据 库 中 的 敏感 ,重要 数 
据 ( 如 公司 的 财务 数据 ,军事 数据 .国家 机 密 以 及 个 人 隐私 等 ) 进 行 加 密 , 网 络 数据 库 则 一 般 
采用 公开 密 钥 的 加 密 算 法 ,这 样 可 以 经 受 来 自 操作 系统 和 DBMS 的 攻击 。 


4.3 网 络 数据 库 用 户 管理 


用 户 管理 是 网 络 数据 库 管理 的 常用 要 求 之 一 ,连接 到 数据 库 的 每 一 个 用 户 都 必须 是 系 
统 的 合法 用 户 。 用 户 要 想 使 用 网 络 数据 库 的 管理 系统 ,必须 要 拥有 相应 的 权限 ,创建 用 户 并 
授予 权限 是 DBA 的 常用 任务 之 一 。 下 面 以 Oracle 数据 库 系统 为 例 ,阐述 网 络 数据 库 的 用 
户 管理 。 


4.3.1 配置 身份 验证 


用 户 是 数据 库 的 使 用 者 。Oracle 为 用 户 提供 了 密码 验证 、 外 部 验证 ,全 局 验证 三 种 身 
份 验证 方法 ,其 中 密码 验证 是 最 常用 的 方法 。 

1. 密码 验证 

当 一 个 使 用 密码 验证 机 制 的 用 户 试 图 进入 数据 库 时 ,数据 库 会 核实 用 户 名 是 否 有 效 ,并 
验证 与 该 用 户 在 数据 库 中 存储 的 密码 是 否 相 匹配 。 

由 于 用 户 信 息 和 密码 都 存储 在 数据 库 内 部 ,所 以 密码 验证 用 户 也 称 为 数据 库 验 证 用 户 。 


2. 外 部 验证 

当 一 个 外 部 验证 机 制 用 户 试图 进入 数据 库 时 ,数据库 会 核实 用 户 名 是 否 有 效 ,并 确信 该 
用 户 已 经 完成 了 操作 系统 级 别 的 身份 验证 。 此 时 ,外 部 验证 用 户 并 不 在 数据 库 中 存储 一 个 
验证 密码 。 

3. 全 局 验证 

全 局 验证 用 户 也 不 在 数据 库 中 存储 验证 密码 ,这 种 类 型 的 验证 是 通过 一 个 高 级 安全 选 
项 所 提供 的 身份 验证 服务 来 进行 的 。 


4.3.2 数据 库 用 户 管理 


用 户 的 相关 信息 包括 用 户 名 称 和 密码 .用户 的 配置 信息 (包括 用 户 的 状态 ,用 户 的 默认 
表 空 间 等 ) ,用 户 的 权限 、 用 户 对 应 方案 中 的 对 象 等 。 

用 户 一 般 是 由 DBA 来 创建 和 维护 的 。 创 建 用 户 后 ,用 户 不 可 以 执行 任何 Oracle 操作 ， 
只 有 赋予 用 户 相关 的 权限 ,用 户 才能 执行 相关 权限 允许 范围 内 的 相关 操作 。 

1. 创建 用 户 

用 户 访问 数据 库 前 必须 要 获得 相应 授权 的 账号 ,创建 一 个 新 的 用 户 ( 密 码 验证 用 户 ) ,最 
基本 的 创建 用 户 的 语句 为 : 

CREATE USER user 

IDENTIFIED BY password; 

CREATE USER,IDENTIFIED BY 为 语法 保留 字 。CREATE USER 后 面 是 创建 的 用 
户 名 字 ,而 IDENTIFIED BY 后 面 则 是 用 户 的 初始 密码 。 

执行 该 语句 的 用 户 需 要 有 创建 用 户 的 权限 ,一 般 为 系统 的 DBA 用 户 ( 如 SYS 和 
SYSTEM 用 户 ) 。 

2， 修改 用 户 

用 户 创 建 完成 后 ,管理 员 可 以 对 用 户 进 行 修改 ,包括 修改 用 户口 令 、 改 变 用 户 默 认 表 空 
间 、 临 时 表 空 间 \ 磁 盘 配 额 及 资源 限制 等 。 修 改 用 户 密码 的 语句 为 : 

ALTER USER user IDENTIFIED BY 新 密码 ; 

此 命令 不 需要 输入 旧 密 码 ,直接 可 把 用 户 的 密码 修改 为 新 密码 ,但 前 提 是 该 用 户 已 经 登 
录 了 Oracle 服务 器 。 

3. 删除 用 户 

删除 用 户 后 ,Oracle 会 从 数据 字典 中 删除 用 户 方案 及 其 所 有 对 象 方案 ,其 语句 为 : 


DROP USER user [CASCADE] 


当 用 户 中 已 经 创建 了 相关 的 存储 对 象 时 ,默认 是 不 能 删除 用 户 的 ,需要 先 删除 该 用 户 下 
的 所 有 对 象 , 然后 才能 删除 该 用 户 名 。 该 操作 也 可 以 使 用 CASCADE 选项 来 完成 ， 
CASCADE 表示 系统 先 自动 删除 该 用 户 下 的 所 有 对 象 ,然后 再 删除 该 用 户 名 。 已 经 登录 的 
用 户 是 不 允许 被 删除 的 。 


4.3.3 数据 库 权 限 管理 
在 Oracle 服务 器 中 ,用 户 只 有 获得 了 相关 的 权限 ,才能 执行 该 权限 允许 的 操作 。 在 
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Oracle 中 存在 以 下 两 种 用 户 权 限 。 

(1) 系统 权限 。 人 允许 用 户 在 数据 库 中 执行 指定 的 行为 ,一 般 可 以 理解 成 比较 通用 的 一 
类 权限 。 

(2) 对 象 权限 。 人 允许 用 户 操作 一 个 指定 的 对 象 . 该 对 象 是 一 个 确切 存储 在 数据 库 中 的 
命名 对 象 。 

1. 系统 权限 

Oracle 系统 中 包含 100 多 种 系统 权限 ,其 主要 作用 如 下 。 

(1) 执行 系统 端的 操作 ,如 CREATE SESSION 是 登录 的 权限 ,CREATE TABLESPACE 
是 创建 表 空 间 的 权限 。 

(2) 管理 某 类 对 象 ,如 CREATE TABLE 是 用 户 建 表 的 权限 。 

(3) 管理 任何 对 象 ,如 CREATE ANY TABLE,ANY 关键 字 表明 该 权限 的 “权力 ”比较 
大 ,可 以 管理 任何 用 户 下 的 表 。 一般 只 有 DBA 可 以 使 用 该 权限 ,普通 用 户 是 不 应 该 拥有 该 
类 权限 的 。 

下 面 是 部 分 系统 权限 的 例子 。 

1) 表 

(1) CREATE TABLE( 创 建 表 ); 

(2) CREATE ANY TABLE( 在 任何 用 户 下 创建 表 ); 

(3) ALTER ANY TABLE( 修 改 任何 用 户 的 表 的 定义 ); 

(4) DROP ANY TABLE( 删 除 任何 用 户 的 表 ); 

(5) SELECT ANY TABLE( 从 任何 用 户 的 表 中 查询 数据 ); 

(6) UPDATE ANY TABLE( 更 改 任何 用 户 表 的 数据 ); 

(7) DELETE ANY TABLE( 删 除 任何 用 户 的 表 的 记录 )。 

2) 索引 

(1) CREATE ANY INDEX( 在 任何 用 户 下 创建 索引 ); 

(2) ALTER ANY INDEX( 修 改 任何 用 户 的 索引 定义 ); 

(3) DROP ANY INDEX( 删 除 任何 用 户 的 索引 ) 。 

3) 会 话 

(1) CREATE SESSION( 创 建 会 话 ,登录 权限 ); 

(2) ALTER SESSION( 修 改 会 话 ) 。 

4) 表 空 间 

(1) CREATE TABLESPACE( 创 建 表 空间 )， 

(2) ALTER TABLESPACE( 修 改 表 空间 ); 

(3) DROP TABLESPACE( 删 除 表 空 间 ); 

(4) UNLIMITED TABLESPACE( 不 限制 任何 表 空间 的 配额 )。 

2. 授 耶 用 户 系统 权限 

授予 用 户 系统 权限 的 语句 为 : 


GRANT 系统 权限 TO user [WITH ADMIN OPTION]; 


WITH ADMIN OPTION 的 含义 是 把 该 权限 的 管理 权限 也 赋予 用 户 。 默 认 情 况 下 , 权 


限 的 赋予 工作 是 由 拥有 管理 权限 的 管理 员 来 执行 的 。 当 权限 被 赋予 其 他 用 户 后 ,其 他 用 户 
就 获得 了 该 权限 的 使 用 权 , 可 以 使 用 在 该 权限 允许 范围 内 的 相关 Oracle 操作 ,但 用 户 并 没 
有 获得 该 权限 的 管理 权 , 所 以 该 用 户 没 有 权限 把 该 权限 再 赋予 其 他 用 户 。 使 用 WITH 
ADMIN OPTION 选项 则 可 以 获得 授予 普通 用 户 管理 权限 的 权限 。 

3. 回收 系统 权限 

回收 系统 权限 的 语句 为 : 


REVOKE 系统 权限 FROM user; 


它 只 能 回收 使 用 了 GRANT 授权 过 的 权限 ,权限 被 回收 后 ,用 户 就 失去 了 原 权 限 的 使 
用 权 和 管理 权 。 
4. 对 象 权 限 
对 象 权 限 的 种 类 不 是 很 多 ,但 数量 相当 大 ,因为 具体 对 象 的 数量 很 多 。 对 象 权限 的 分 类 
如 表 4. 3. 1 所 示 。 
表 4.3.1 对 象 权限 的 分 类 
权限 分 类 \ 对 象 类 型 表 (Table) 视图 (View) 序列 存储 过 程 
SELECT( 选 择 ) O 总 OO 
INSERT( 插 入 ) 
UPDATE( 更 新 ) 
DELETE( 删 除 ) 
ALTER( 修 改 ) 
INDEX( 索 引 ) 
REFERENCE( 引 用 ) 
EXECUTE( 执 行 ) O 
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对 于 对 象 权限 来 说 , 表 除 执行 的 权限 外 ,其 余 的 对 象 权 限 都 有 ; 视图 没有 修改 的 权限 
( 含 在 创建 视图 权限 中 ) ,也 不 能 基于 视图 来 创建 索引 ; 序列 只 有 修改 和 查询 的 权限 ; 而 存 
储 过 程 则 只 有 执行 的 权限 。 

对 象 权 限 除了 直接 作用 在 某 个 对 象 外 ,还 可 以 对 表 中 的 具体 列 设置 对 象 权限 。 

授予 对 象 权限 的 语句 为 : 

GRANT 对 象 权限 种 类 [( 列 名 列表 ) ] ON 对 象 名 TO user 

[WITH GRANT OPTION]; 

授予 对 象 权限 的 用 户 是 对 象 的 拥有 者 或 其 他 有 对 象 管 理 权限 的 用 户 ( 常 为 DBA)。 也 
可 以 把 对 象 的 管理 权限 赋予 其 他 用 户 ,其 语句 为 WITH GRANT OPTION。 

回收 对 象 权限 的 语句 为 : 


REVOKE 对 象 权限 种 类 [ ( 列 名 列表 )] ON 对 象 名 FROM user; 
对 象 的 权限 会 级 联 回收 ,这 一 点 同系 统 权限 的 级 联 回收 策略 不 同 。 
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4.4 数据 备份 .恢复 和 容 灾 


在 日 常 工作 中 ,人 为 操作 错误 .系统 软件 或 应 用 软件 缺陷 、 硬 件 损毁 、. 计 算 机 病毒 .黑客 
攻击 、 突 然 断 电 、 意 外 宕 机 、 自 然 灾害 等 诸多 因素 都 有 可 能 造成 网 络 系 统 中 数据 的 丢失 ,给 用 
户 造成 无 法 估量 的 损失 。 因 此 ,数据 备份 与 恢复 对 用 户 来 说 格外 重要 。 


4.4.1 数据 备份 


1. 数据 备份 的 概念 

数据 备份 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 丢失 ,而 将 全 部 或 部 分 数 
据 集合 从 应 用 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 网 络 系统 中 的 数据 备 
份 , 通 常 是 指 将 存储 在 网 络 系统 中 的 数据 复制 到 磁带 、 磁 盘 .光盘 等 存储 介质 上 ,在 该 系统 外 
的 地 方 另行 保管 。 这 样 , 当 网 络 系统 设备 发 生 故 障 或 发 生 其 他 威胁 数据 安全 的 灾害 时 ,能 及 
时 地 从 备份 的 介质 上 恢复 正确 的 数据 。 

数据 备份 的 目的 就 是 为 了 在 系统 数据 崩溃 时 能 够 快速 地 恢复 数据 ,使 系统 迅速 恢复 运 
行 。 那 么 就 必须 保证 备份 数据 和 源 数据 的 一 致 性 和 完整 性 ,消除 系统 使 用 者 的 后 顾 之 忧 。 
其 关键 在 于 保障 系统 的 高 可 用 人 性, 即 操作 失误 或 系统 故障 发 生 后 ,能 够 保障 系统 的 正常 运 
行 。 如 果 没 有 了 数据 ,一 切 的 恢复 都 是 不 可 能 实现 的 ,因此 备份 是 一 切 灾难 恢复 的 基石 。 从 
这 个 意义 上 讲 ,任何 灾难 恢复 系统 实际 上 都 是 建立 在 备份 基础 上 的 。 数 据 备份 与 恢复 系统 
是 数据 保护 措施 中 最 直接 、 最 有 效 、 最 经 济 的 方案 ,也 是 任何 网 络 信 息 系 统 不 可 缺少 的 一 
部 分 。 

现在 不 少 用 户 也 意识 到 了 这 一 点 ,采取 了 系统 定期 检测 与 维护 、 双 机 热 备份 .磁盘 镜像 
或 容错 、 备 份 磁带 异地 存放 ,关键 部 件 元 余 等 多 种 预防 措施 。 这 些 措施 一 般 能 够 进行 数据 备 
份 , 并 且 在 系统 发 生 故障 后 能 够 快速 地 进行 系统 恢复 。 

数据 备份 能 够 用 一 种 增加 数据 存储 代价 的 方法 保护 数据 安全 , 它 对 于 拥有 重要 数据 的 
大 中 型 企 事业 单位 是 非常 重要 的 ,因此 数据 备份 和 恢复 通常 是 大 中 型 企 事业 网 络 系 统管 理 
员 每 天 必 做 的 工作 之 一 。 对 于 个 人 网 络 用 户 ,数据 备份 也 是 非常 必要 的 。 

传统 的 数据 备份 主要 是 采用 数据 内 置 或 外 置 的 磁带 机 进行 冷 备份 。 一 般 来 说 ,各 种 操 
作 系 统 都 附带 了 备份 程序 。 但 随 着 数据 的 不 断 增加 和 系统 要 求 的 不 断 提 高 .附带 的 备份 程 
序 已 无 法 满足 需求 。 要 想 对 数据 进行 可 靠 的 备份 ,必须 选择 专门 的 备份 软 、 硬 件 , 并 制定 相 
应 的 备份 及 恢复 方案 。 

目前 比较 常用 的 数据 备份 措施 有 : 本 地 磁带 备份 .本 地 可 移动 存储 器 备份 .本 地 可 移动 
硬盘 备份 ,本 机 多 硬盘 备份 .远程 磁带 库 .光盘 库 备 份 . 远 程 数据 库 备 份 . 网 络 数据 镜像 和 远 
程 镜像 磁盘 等 。 

2. 数据 备份 的 类 型 

按 数据 备份 时 的 数据 库 状 态 的 不 同 ,数据 备份 可 分 为 冷 备 份 ` 热 备份 和 逻辑 备份 等 
类 型 。 

1) 冷 备份 

冷 备份 (Cold Backup) 是 指 在 关闭 数据 库 的 状态 下 进行 的 数据 库 完全 备份 。 备 份 内 容 


包括 所 有 的 数据 文件 .控制 文件 .联机 日 志文 件 等 。 因 此 :在 进行 冷 备 份 时 数据 库 将 不 能 被 
访问 。 冷 备份 通常 只 采用 完全 备份 。 

2) 热 备份 

热 备份 (Hot Backup) 是 指 在 数据 库 运行 的 状态 下 ,对 数据 文件 和 控制 文件 进行 的 备 
份 。 使 用 热 备份 必须 将 数据 库 运行 在 归档 方式 下 。 在 进行 热 备份 的 同时 可 以 进行 数据 库 的 
各 种 操作 。 

3) 逻辑 备份 

逻辑 备份 (Logical Backup) 是 最 简单 的 备份 方法 ,可 按 数据 库 中 某 个 表 、 某 个 用 户 或 整 
个 数据 库 进 行 导 出 。 使 用 这 种 方法 ,数据 库 必须 处 于 打开 状态 , 且 如 果 数 据 库 不 是 在 restrict 
状态 则 将 不 能 保证 导出 数据 的 一 致 性 。 

3. 数据 备份 策略 

需要 进行 数据 备份 的 部 门 都 要 先 制定 数据 备份 策略 。 数 据 备份 策略 包括 确定 需要 备份 
的 数据 内 容 ( 如 进行 完全 备份 、 增 量 备份 .差别 备份 还 是 按 需 备 份 ) ,备份 类 型 (如 采用 冷 备份 
还 是 热 备份 ) 备份 周期 (如 以 月 . 周 .日 还 是 小 时 为 备份 周期 )、 备 份 方式 (如 采用 手工 备份 还 
是 自动 备份 ) 备份 介 质 ( 如 以 光盘 、 硬 盘 、 磁 带 、 优 盘 还 是 网 盘 为 备份 介质 ) 和 备份 介质 的 存 
放 等 。 下 面 介绍 几 种 不 同 数据 内 容 的 备份 方式 。 

1) 完全 备份 

完全 备份 (Full Backup) 是 指 按 备份 周期 对 整个 系统 的 所 有 文件 (数据 ) 进 行 备份 。 这 
种 备份 方式 比较 流行 ,也 是 解决 系统 数据 不 安全 的 最 简单 的 方法 ,操作 起 来 也 很 方便 。 有 了 
完全 备份 ,网 络 管理 员 可 清楚 地 知道 从 备份 之 日 起 便 可 恢复 网 络 系统 中 的 所 有 信息 ,恢复 操 
作 也 可 一 次 性 完成 。 如 当 发 现 数据 丢失 时 ,只 要 用 一 盘 故 障 发 生前 一 天 备份 的 磁带 , 即 可 恢 
复 丢 失 的 数据 。 但 这 种 方式 的 不 足 之 处 是 由 于 每 天 都 对 系统 进行 完全 备份 ,在 备份 数据 中 
必定 有 大 量 的 内 容 是 重复 的 ,这 些 重复 的 数据 占用 了 大 量 的 存储 空间 ,这 对 用 户 而 言 就 意味 
着 成 本 的 增加 。 另 外 ,由 于 进行 完全 备份 时 需要 备份 的 数据 量 相 当 大 ,因此 备份 所 需 的 时 间 
较 长 。 对 于 那些 业务 繁忙 、 备 份 窗口 时 间 有 限 的 单位 ,选择 这 种 备份 策略 是 不 合适 的 。 

2) 增 量 备份 

增 量 备份 (Incremental Backup) 是 指 每 次 备份 的 数据 只 是 相当 于 上 一 次 备份 后 增加 和 
修改 过 的 内 容 , 即 备份 的 都 是 已 更 新 过 的 数据 。 例 如 ,系统 在 星期 日 做 了 一 次 完全 备份 , 然 
后 在 以 后 的 六 天 里 每 天 只 对 当天 新 的 或 被 修改 过 的 数据 进行 备份 。 这 种 备份 的 优点 是 没有 
或 减少 了 重复 的 备份 数据 , 既 节 省 了 存储 介质 的 空间 ,又 缩短 了 备份 时 间 。 但 其 缺点 是 恢复 
数据 的 过 程 比较 麻烦 ,不 可 能 一 次 性 完成 整体 的 恢复 。 

3) 差别 备份 

差别 备份 (Differential Backup) 也 是 在 完全 备份 后 将 新 增加 或 修改 过 的 数据 进行 备份 ， 
但 它 与 增 量 备份 的 区 别 是 每 次 备份 都 把 上 次 完全 备份 后 更 新 过 的 数据 进行 备份 。 例 如 , 星 
期 日 进行 完全 备份 后 ,其 余 六 天 中 的 每 一 天 都 将 当天 所 有 与 星期 日 完全 备份 时 不 同 的 数据 
进行 备份 。 差 别 备份 可 节省 备份 时 间 和 存储 介质 空间 ,只 需 两 盘 磁 带 (星期 日 备份 磁带 和 故 
障 发 生前 一 天 的 备份 磁带 ? 即 可 恢复 数据 。 差 别 备份 兼 具 了 完全 备份 的 恢复 数据 较 方便 和 
增 量 备份 的 节省 存储 空间 及 备份 时 间 的 优点 。 

完全 备份 所 需 的 时 间 最 长 ,占用 存储 介质 容量 最 大 ,但 数据 恢复 时 间 最 短 ,操作 最 方便 ， 
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当 系 统 数据 量 不 大 时 该 备份 方式 最 可 靠 ; 但 当 数据 量 增 大 时 ,很 难 每 天 都 做 完全 备份 ,可 选 
择 周 末 做 完全 备份 ,在 其 他 时 间 采 用 所 用 时 间 最 少 的 增 量 备份 或 时 间 介 于 两 者 之 间 的 差别 
备份 。 在 实际 备份 中 ,通常 也 是 根据 具体 情况 ,采用 这 几 种 备份 方式 的 组 合 ,如 年 底 做 完全 
备份 ,月 底 做 完全 备份 ,周末 做 完全 备份 ,而 每 天 做 增 量 备份 或 差别 备份 。 

4) 按 需 备份 

除 以 上 备份 方式 外 ,还 可 采用 随时 对 所 需 数据 进行 备份 的 方式 进行 数据 备份 。 按 需 备 
份 就 是 指 除 正 常备 份 外 ,额外 进行 的 备份 操作 。 额 外 备份 可 以 有 许多 理由 ,例如 ,只 想 备份 
很 少 几 个 文件 或 目录 ,备份 服务 器 上 所 有 的 必需 信息 以 便 进行 更 安全 的 升级 等 。 这 样 的 备 
份 在 实际 应 用 中 经 常 遇 到 。 


4.4.2 数据 恢复 


数据 恢复 是 指 将 备份 到 存储 介质 上 的 数据 再 恢复 到 网 络 系统 中 , 它 与 数据 备份 是 一 个 
相反 的 过 程 。 

数据 恢复 措施 在 整个 数据 安全 保护 中 占有 相当 重要 的 地 位 ,因为 它 关系 到 系统 在 经 历 
灾难 后 能 否 迅 速 恢复 运行 。 

1. 恢复 数据 时 的 注意 事项 

(1) 由 于 恢复 数据 是 覆盖 性 的 ,不 正确 的 恢复 可 能 会 破坏 硬盘 中 的 最 新 数据 ,因此 在 进 
行 数据 恢复 时 ,应 先 将 硬盘 数据 备份 。 

(2) 进行 恢复 操作 时 ,用 户 应 指明 恢复 何 时 的 数据 。 当 开始 恢复 数据 时 ,系统 首先 识别 
备份 介质 上 标识 的 备份 日 期 是 否 与 用 户 选 择 的 日 期 相同 ,如 果 不 同 将 提醒 用 户 更 换 备份 
介质 。 

(3) 由 于 数据 恢复 工作 比较 重要 ,容易 错 把 系统 上 的 最 新 数据 变 成 备份 盘 上 的 旧 数 据 ， 
因此 应 指定 少数 人 进行 此 项 操作 。 

(4) 不 要 在 恢复 过 程 中 关机 、 关 电源 或 重新 启动 机 器 。 

(5) 不 要 在 恢复 过 程 中 打开 驱动 器 开关 或 抽出 软盘 、 光 盘 ( 除 非 系统 提示 换 盘 ) 等 。 

2. 数据 恢复 的 类 型 

一 般 来 说 ,数据 恢复 操作 比 数据 备份 操作 更 容易 出 问题 。 数 据 备份 只 是 将 信息 从 磁盘 
复制 出 来 ,而 数据 恢复 则 要 在 目标 系统 上 创建 文件 。 在 创建 文件 时 会 出 现 许多 差错 ,如 超过 
容量 限制 ,权限 问题 和 文件 覆盖 错误 等 。 数 据 备份 操作 不 需 知道 太 多 的 系统 信息 ,只 需 复制 
指定 信息 就 可 以 了 ; 而 数据 恢复 操作 则 需要 知道 哪些 文件 需要 恢复 ,哪些 文件 不 需要 恢 
复 等 。 

数据 恢复 操作 通常 有 全 盘 恢 复 .个 别 文件 恢复 和 重 定向 恢复 三 种 类 型 。 

1) 全 盘 恢复 

全 盘 恢 复 就 是 将 备份 到 介质 上 的 指定 系统 信息 全 部 转 储 到 它们 原来 的 地 方 。 全 盘 恢 复 
一 般 应 用 在 服务 器 发 生意 外 灾难 时 导致 数据 全 部 丢失 、 系 统 崩 溃 或 是 有 计划 的 系统 升级 、 系 
统 重组 等 ,也 称 为 系统 恢复 。 

2) 个 别 文件 恢复 
个 别 文件 恢复 就 是 将 个 别 已 备份 的 最 新 版 文件 恢复 到 原来 的 地 方 。 对 大 多 数 备份 而 
;这 是 一 种 相对 简单 的 操作 。 个 别 文件 恢复 要 比 全 盘 恢复 用 得 更 普遍 。 利 用 网 络 备份 系 


了 


统 的 恢复 功能 ,很 容易 恢复 受 损 的 个 别 文件 。 需 要 时 只 要 浏览 备份 数据 库 或 目录 ,找到 该 文 
件 , 启 动 恢复 功能 ,系统 将 自动 驱动 存储 设备 ,加 载 相应 的 存储 媒体 ,恢复 指定 文件 。 

3) 重 定向 恢复 

重 定向 恢复 是 将 备份 的 文件 (数据 ) 恢 复 到 另 一 个 不 同 的 位 置 或 系统 上 去 ,而 不 是 做 备 
份 操作 时 它们 所 在 的 位 置 。 重 定向 恢复 可 以 是 整个 系统 恢复 ,也 可 以 是 个 别 文件 恢复 。 重 
定向 恢复 时 需要 慎重 考虑 ,要 确保 系统 或 文件 恢复 后 的 可 用 人 性。 


4.4.3 数据 容 灾 


对 于 信息 技术 而 言 , 容 灾 系 统 就 是 为 网 络 信息 系统 提供 的 一 个 能 应 付 各 种 灾难 的 环境 。 
当 网 络 系统 在 遭受 如 火灾 \ 水 灾 、` 地 震 、 战 争 等 不 可 抗拒 的 灾难 和 意外 时 , 容 灾 系 统 将 保证 用 
户 数据 的 安全 性 ,甚至 提供 不 间断 的 应 用 服务 。 

1. 容 灾 系统 和 容 灾 备 份 

这 里 所 说 的 “ 灾 ” 具 体 是 指 网 络 系统 遇 到 的 自然 灾难 (洪水 、 恨 风 、 地 震 ) 、 外 在 事件 (电力 
或 通信 中 断 ) 技术 失效 及 设备 受 损 (火灾 ) 等 。 容 灾 就 是 指 网 络 系统 在 遇 到 这 些 灾难 时 仍 能 
保证 系统 数据 的 完整 .可 用 和 系统 正常 运行 。 

对 于 那些 业务 不 能 中 断 的 用 户 和 行业 ,如 银行 、 证 券 、 电 信 等 , 因 其 关键 业务 的 特殊 性 ， 
必须 有 相应 的 容 灾 系 统 进行 防护 。 保 持 业务 的 连续 性 是 当今 企 事业 用 户 需要 考虑 的 一 个 极 
为 重要 的 问题 ,而 容 灾 的 目的 就 是 保证 关键 业务 的 可 靠 运 行 。 利 用 容 灾 系统 ,用 户 把 关键 数 
据 存放 在 异地 , 当 生产 (工作 ) 中 心 发 生 灾难 时 ,备份 中 心 可 以 很 快 地 将 系统 接管 并 运行 
起 来 。 

从 概念 上 讲 , 容 灾 备 份 是 指 通过 技术 和 管理 的 途径 ,确保 在 灾难 发 生 后 , 企 事业 单位 的 
关键 数据 ,数据 处 理 系 统 和 业务 在 短 时 间 内 能 够 恢复 。 因 此 ,在 实施 容 灾 备 份 之 前 , 企 事 业 
单位 首先 要 分 析 哪 些 数据 最 重要 、 哪 些 数据 要 做 备份 .这 些 数据 价值 多 少 ,然后 再 决定 采用 
何 种 形式 的 容 灾 备 份 。 

现在 , 容 灾 备 份 的 技术 和 市 场 正 处 于 一 个 快速 发 展 的 阶段 。 在 此 契机 下 ,国家 已 将 容 灾 
备份 作为 今后 信息 发 展 规划 中 的 一 个 重点 ,各 地 方 和 行业 准备 或 已 建立 起 一 些 容 灾 备 份 中 
心 。 这 不 仅 可 以 为 大 型 企业 和 部 门 提供 容 灾 服 务 ,也 可 以 为 大 量 的 中 小 企业 提供 不 同 需求 
的 容 灾 服 务 。 

2. 数据 容 灾 与 数据 备份 的 关系 

许多 用 户 对 数据 容 灾 这 个 概念 不 理解 , 易 把 数据 容 灾 与 数据 备份 等 同 起 来 ,其 实 这 是 不 
对 的 ,至 少 是 不 全 面 的 。 

备份 与 容 灾 不 是 等 同 的 关系 ,而 是 两 个 “交集 ”, 中 间 有 大 部 分 的 重合 关系 。 多 数 容 灾 工 
作 可 由 备份 来 完成 ,但 容 灾 还 包括 网 络 等 其 他 部 分 ,而 且 , 只 有 容 灾 才能 保证 业务 的 连续 性 。 

数据 容 灾 与 数据 备份 的 关系 主要 体现 在 以 下 几 个 方面 。 

1) 数据 备份 是 数据 容 灾 的 基础 

数据 备份 是 数据 高 可 用 性 的 一 道 安全 防线 ,其 目的 是 为 了 在 系统 数据 崩溃 时 能 够 快速 
地 恢复 数据 。 虽 然 它 也 是 一 种 容 灾 方案 ,但 这 样 的 容 灾 能 力 非 常 有 限 ,因为 传统 的 备份 主要 
是 采用 磁带 机 进行 冷 备份 ,备份 磁带 的 同时 也 在 机 房 中 统一 管理 ,一 旦 整个 机 房 出 现 了 灾 
难 , 这 些 备份 磁带 也 将 随 之 销毁 ,所 存储 的 磁带 备份 将 起 不 到 任何 容 灾 作 用 。 





网 络 数 据 亩 与 数据 安全 


震 全 蛋 


计算 机 网 络 安 会 (第 3 版 ) 





2) 容 灾 不 是 简单 备份 

显然 , 容 灾 备份 不 等 同 于 一 般 意义 上 的 业务 数据 的 备份 与 恢复 ,数据 备份 与 恢复 只 是 容 
灾 备 份 中 的 一 个 方面 。 容 灾 备 份 系统 还 包括 最 大 范围 地 容 灾 、 最 大 限度 地 减少 数据 丢失 、 实 
时 切换 、 短 时 间 恢 复 等 多 项 内 容 。 可 以 说 , 容 灾 备 份 正在 成 为 保护 企 事 业 单位 关键 数据 的 一 
种 有 效 手 段 。 

真正 的 数据 容 灾 就 是 要 避免 传统 冷 备份 所 具有 的 不 足 之 处 ,要 能 在 灾难 发 生 时 ,全 面 、 
及 时 地 恢复 整个 系统 。 容 灾 按 其 容 灾 能 力 的 高 低 可 分 为 多 个 层次 ,如 国际 标准 SHARE 78 
定义 的 容 灾 系 统 有 七 个 层次 : 从 最 简单 的 仅 在 本 地 进行 磁带 备份 ,到 将 备份 的 磁带 存储 在 
异地 ,再 到 建立 应 用 系统 实时 切换 的 异地 备份 系统 ,恢复 时 间 也 可 以 从 几 天 到 几 小 时 ,甚至 
到 分 钟 级 、 秒 级 或 0 数据 丢失 等 。 

无 论 采用 哪 种 容 灾 方 案 , 数 据 备份 都 是 最 基础 的 ,没有 备份 的 数据 ,任何 容 灾 方 案 都 没 
有 现实 意义 。 但 仅 有 备份 是 不 够 的 , 容 灾 也 必 不 可 少 。 

3) 容 灾 不 仅仅 是 技术 

容 灾 不 仅仅 是 一 项 技术 ,更 是 一 项 工程 。 目 前 很 多 客户 还 停留 在 对 容 灾 技 术 的 关注 上 ， 
而 对 容 灾 的 流程 ,规范 及 具体 措施 还 不 太 清楚 ,也 从 不 对 容 灾 方 案 的 可 行 性 进行 评估 ,认为 
只 要 建立 了 容 灾 方 案 即 可 放心 了 ,其 实 这 是 具有 很 大 风险 的 。 特 别 是 一 些 中 小 企 事业 单位 ， 
认为 自己 的 企 事业 单位 为 了 数据 备份 和 容 灾 ,年 年 花费 了 大 量 的 人 力 和 财力 ,但 几 年 下 来 根 
本 没有 发 生 任何 大 的 灾难 ,于 是 就 放松 了 警惕 。 可 一 旦 发 生 了 灾难 ,将 损失 巨大 。 这 一 点 国 
外 的 公司 就 做 得 非常 好 ,尽管 几 年 下 来 的 确 未 出 现 大 的 灾难 ,备份 了 那么 多 磁带 ,几乎 没有 
派 上 任何 用 场 ,但 仍 一 如 既往 ,非常 认真 地 做 好 每 一 步 , 并 且 基 本 上 每 月 都 会 对 现行 容 灾 方 
案 的 可 行 性 进行 评估 ,进行 实地 演练 。 

3. 容 灾 系 统 

容 灾 系统 包括 数据 容 灾 和 应 用 容 灾 两 部 分 。 数 据 容 灾 可 保证 用 户 数 据 的 完整 性 、 可 靠 
性 和 一 致 性 ,但 不 能 保证 服务 不 中 断 。 应 用 容 灾 是 在 数据 容 灾 的 基础 上 ,在 异地 建立 一 套 完 
整 的 与 本 地 生产 系统 相当 的 备份 应 用 系统 ,在 灾难 发 生 的 情况 下 ,远程 系统 会 迅速 接管 业务 
运行 ,提供 不 间断 的 应 用 服务 ,让 客户 的 服务 请 求 能 够 继续 。 可 以 说 ,数据 容 灾 是 系统 能 够 
正常 工作 的 保障 。 而 应 用 容 灾 则 是 容 灾 系统 建设 的 目标 , 它 是 建立 在 可 靠 的 数据 容 灾 基础 
上 ,通过 应 用 系统 、 网 络 系统 等 各 种 资源 之 间 的 良好 协调 来 实现 的 。 

1) 本 地 容 灾 

本 地 容 灾 的 主要 手段 是 容错 。 容 错 的 基本 思想 就 是 利用 外 加 资源 的 宛 余 技 术 来 达到 屏 
蔽 故障 .自动 恢复 系统 或 安全 停机 的 目的 。 容 错 是 以 牺牲 外 加 资源 为 代价 来 提高 系统 可 靠 
性 的 。 外 加 资源 的 形式 很 多 ,主要 有 硬件 元 余 、 时 间 元 余 、 信 息 元 余 和 软件 元 余 。 容 错 技 术 
的 使 用 使 得 容 灾 系统 能 恢复 大 多 数 的 故障 ,然而 当 遇 到 自然 灾害 及 战争 等 意外 时 , 仅 采用 本 
地 容 灾 技 术 并 不 能 满足 要 求 , 这 时 应 考虑 采用 异地 容 灾 保 护 措施 。 

在 系统 设计 中 ,企业 一 般 考虑 做 数据 备份 和 采用 主机 集群 的 结构 ,因为 它们 能 解决 本 地 
数据 的 安全 性 和 可 用 性 。 目 前 人 们 所 关注 的 容 灾 ,大 部 分 也 都 只 是 停留 在 本 地 容 灾 的 层 
面 上 。 

2) 异地 容 灾 

异地 容 灾 是 指 在 相隔 较 远 的 异地 ,建立 两 套 或 多 套 功能 相同 的 系统 。 当 主 系 统 因 意外 





停止 工作 时 ,备用 系统 可 以 接替 工作 ,保证 系统 的 不 间断 运行 。 异 地 容 灾 系 统 采用 的 主要 方 
法 是 数据 复制 ,目的 是 在 本 地 与 异地 之 间 确 保 各 系统 关键 数据 和 状态 参数 的 一 致 。 

异地 容 灾 系 统 具备 应 付 各 种 灾难 特别 是 区 域 性 与 毁灭 性 灾难 的 能 力 , 具 备 较为 完善 的 
数据 保护 与 灾难 恢复 功能 ,保证 灾难 降临 时 数据 的 完整 性 及 业务 的 连续 性 ,并 在 最 短 时 间 内 
恢复 业务 系统 的 正常 运行 ,将 损失 降 到 最 小 。 其 系统 一 般 由 生产 系统 .可 接替 运行 的 后 备 系 
统 、 数 据 备份 系统 、 备 用 通信 线路 等 部 分 组 成 。 在 正常 生产 和 数据 备份 的 状态 下 ,生产 系统 
向 备份 系统 传送 需 备份 的 数据 。 灾 难 发 生 后 , 当 系 统 处 于 灾难 恢复 状态 时 ,备份 系统 将 接 蔡 
生产 系统 继续 运行 。 此 时 重要 的 营业 终端 用 户 将 从 生产 主机 切换 到 备份 中 心 主 机 ,继续 对 
外 营业 。 

4. 数据 容 灾 技 术 

容 灾 系 统 的 核心 技术 是 数据 复制 ,目前 主要 有 同步 数据 复制 和 异步 数据 复制 两 种 。 同 
步 数 据 复制 是 指 通过 将 本 地 数据 以 完全 同步 的 方式 复制 到 异地 ,每 一 个 本 地 1/O 交易 均 需 
等 待 远程 复制 的 完成 方 予 以 释放 。 异 步 数 据 复制 是 指 将 本 地 数据 以 后 台 方式 复制 到 异地 ， 
每 一 个 本 地 I/O 交易 均 正 常 释放 ,无 须 等 待 远程 复制 的 完成 。 数 据 复制 对 数据 系统 的 一 至 
性 和 可 靠 性 以 及 系统 的 应 变 能 力 具 有 举足轻重 的 作用 , 它 决定 着 容 灾 系统 的 可 靠 性 和 可 
用 性 。 

对 数据 库 系统 可 采用 远程 数据 库 复 制 技术 来 实现 容 灾 。 这 种 技术 是 由 数据 库 系 统 软件 
实现 数据 库 的 远程 复制 和 同步 的 。 基 于 数据 库 的 复制 方式 可 分 为 实时 复制 .定时 复制 和 存 
储 转发 复制 ,并 且 在 复制 过 程 中 ,还 有 自动 冲突 检测 和 解决 的 手段 ,以 保证 数据 的 一 致 性 不 
受 破坏 。 远 程 数据 库 复制 技术 对 主机 的 性 能 有 一 定 要 求 ,可 能 增加 对 磁盘 存储 容量 的 需求 ， 
但 系统 运行 恢复 较 简 单 , 在 实时 复制 方式 时 数据 一 致 性 较 好 ,所 以 对 于 一 些 数据 一 致 性 要 求 
较 高 ,数据 修改 更 新 较 频 繁 的 应 用 ,可 采用 基于 数据 库 的 容 灾 备份 方案 。 

目前 ,业内 实施 比较 多 的 容 灾 技术 是 基于 智能 存储 系统 的 远程 数据 复制 技术 。 它 是 由 
智能 存储 系统 自身 来 实现 数据 的 远程 复制 和 同步 , 即 智能 存储 系统 将 对 本 系统 中 的 存储 器 
1/O 操作 请 求 复制 到 远 端 的 存储 系统 中 并 执行 ,保证 数据 的 一 致 性 。 

还 可 以 采用 基于 人 逻辑 磁盘 卷 的 远程 数据 复制 技术 进行 容 灾 。 这 种 技术 就 是 将 物理 存储 
设备 划分 为 一 个 或 多 个 逻辑 磁盘 卷 (volume) ,便于 数据 的 存储 规划 和 管理 。 人 逻辑 磁盘 卷 可 
理解 为 在 物理 存储 设备 和 操作 系统 之 间 增 加 一 个 逻辑 存储 管理 层 。 基 于 逻辑 磁盘 卷 的 远程 
数据 复制 就 是 根据 需要 将 一 个 或 多 个 卷 进行 远程 同步 或 异步 复制 。 该 方案 通常 通过 软件 来 
实现 ,基本 配置 包括 卷 管理 软件 和 远程 复制 控制 管理 软件 。 基 于 逮 辑 磁盘 卷 的 远程 数据 复 
制 因 为 是 基于 逻辑 存储 管理 技术 的 ,一般 与 主机 系统 、 物 理 存储 系统 设备 无 关 , 所 以 对 物理 
存储 系统 自身 的 管理 功能 要 求 不 高 ,有 较 好 的 可 管理 性 。 

在 建立 容 灾 备份 系统 时 会 涉及 多 种 技术 ,具体 有 SAN 和 NAS 技术、 远程 镜像 技术 、 虚 
拟 存储 技术 、 基 于 IP 的 SAN 的 互联 技术 .快照 技术 等 。 

1) SAN 和 NAS 技术 

SAN(Storage Area Network ,存储 区 域 网 ) 提 供 一 个 存储 系统 、 备 份 设备 和 服务 器 相互 
连接 的 架构 。 它 们 之 间 的 数据 不 在 以 太 网 络 上 流通 ,从 而 大 大 提高 了 以 太 网 络 的 性 能 。 正 
由 于 存储 设备 与 服务 器 完全 分 离 , 用 户 获得 一 个 与 服务 器 分 开 的 存储 管理 理念 。 复 制 、 备 
份 、 恢 复数 据 和 安全 的 管理 可 以 以 中 央 的 控制 和 管理 手段 进行 ,加 上 把 不 同 的 存储 池 以 网 络 








网 络 数 据 亩 与 数据 安 会 


地 上台 


计算 机 网 络 安 会 (第 3 版 ) 





方式 连接 ,用 户 可 以 以 任何 需要 的 方式 访问 数据 ,并 获得 更 高 的 数据 完整 性 。 

NAS(Network Attached Storage, 网 络 附加 存储 ) 使 用 了 传统 以 太 网 和 IP 协议 , 当 进 行 
文件 共享 时 , 则 利用 了 NFS 和 CIFS(Common Internet File System) 以 沟通 NT 和 UNIX 
系统 。 由 于 NFS 和 CIFS 都 是 基于 操作 系统 的 文件 共享 协议 ,所 以 NAS 的 性 能 特点 是 进 
行 小 文件 级 的 共享 存 取 。 

SAN 以 光纤 通道 交换 机 和 光纤 通道 协议 为 主要 特征 的 本 质 决定 了 它 在 性 能 ,距离 , 管 
理 等 方面 的 诸多 优点 。 而 NAS 的 部 署 非常 简单 ,只 需 与 传统 交换 机 连接 即 可 。 概 括 来 说 ， 
SAN 对 于 高 容量 块 状 级 数据 传输 具有 明显 的 优势 ,而 NAS 则 更 加 适合 文件 级 别 上 的 数据 
处 理 。SAN 和 NAS 实际 上 也 是 能 够 相互 补充 的 存储 技术 。 

2) 远程 镜像 技术 

远程 镜像 技术 用 于 主 数据 中 心 和 备 援 数据 中 心 之 间 进 行 数据 备份 。 两 个 镜像 系统 一 个 
称 为 主 镜像 系统 ,一 个 称 从 镜像 系统 。 按 主 , 从 镜像 存储 系统 所 处 的 位 置 可 分 为 本 地 镜像 和 
远程 镜像 。 

远程 镜像 又 称 远程 复制 ,是 容 灾 备 份 的 核心 技术 ,同时 也 是 保持 远程 数据 同步 和 实现 灾 
难 恢复 的 基础 。 远 程 镜像 按 请 求 镜像 的 主机 是 否 需 要 远程 镜像 站 点 的 确认 信息 ,又 可 分 为 
同步 远程 镜像 和 异步 远程 镜像 。 

同步 远程 镜像 是 指 通过 远程 镜像 软件 ,将 本 地 数据 以 完全 同步 的 方式 复制 到 异地 ,每 一 
个 本 地 的 I/O 事务 均 需 等 待 远程 复制 的 完成 确认 信息 , 方 可 予以 释放 。 同 步 镜像 使 远程 备 
份 总 能 与 本 地 机 要 求 复 制 的 内 容 相 匹配 。 当 主 站 点 出 现 故 障 时 ,用 户 的 应 用 程序 会 切换 到 
备份 的 蔡 代 站 点 ,被 镜像 的 远程 副本 可 以 保证 业务 继续 执行 而 没有 数据 丢失 。 但 同步 远程 
镜像 系统 存在 往返 传输 造成 延 时 较 长 的 缺点 ,因此 它 只 限于 在 相对 较 近 的 距离 上 应 用 。 

异步 远程 镜像 保证 在 更 新 远程 存储 视图 前 完成 向 本 地 存储 系统 的 基本 1/O 操作 ,而 由 
本 地 存储 系统 提供 给 请 求 镜像 主机 的 I/O 操作 完成 确认 信息 。 远 程 数据 复制 是 以 后 台 同 
步 的 方式 进行 的 ,这 使 本 地 系统 性 能 受到 的 影响 很 小 ,传输 距离 远 , 对 网 络 带宽 要 求 小 。 但 
是 ,许多 远程 的 从 属 存储 子 系统 的 写 操作 没有 得 到 确认 , 当 某 种 因素 造成 数据 传输 失败 时 ， 
可 能 会 出 现 数据 不 一 致 的 问题 。 为 了 解决 这 个 问题 ,目前 大 多 采用 延迟 复制 的 技术 , 即 在 确 
保本 地 数据 完好 无 损 后 再 进行 远程 数据 更 新 。 

3) 快照 技术 

远程 镜像 技术 往往 同 快照 技术 结合 起 来 实现 远程 备份 , 即 通 过 镜像 把 数据 备份 到 远程 
存储 系统 中 ,再 用 快照 技术 把 远程 存储 系统 中 的 信息 备份 到 远程 的 磁带 库 、 光 盘 库 中 。 

快照 是 通过 软件 对 要 备份 的 磁盘 子 系统 的 数据 快速 扫描 ,建立 一 个 要 备份 数据 的 快照 
逻辑 单元 号 LUN 和 快照 cache。 在 快速 扫描 时 ,把 备份 过 程 中 即将 要 修改 的 数据 块 同时 快 
速 复制 到 快照 cache 中 。 人 快照 LUN 是 一 组 指针 , 它 指向 快照 cache 和 磁盘 子 系统 中 不 变 的 
数据 块 。 在 正常 业务 进行 的 同时 ,利用 快照 LUN 实现 对 原 数 据 的 一 个 完全 备份 。 它 可 使 
用 户 在 正常 业务 不 受 影响 的 情况 下 ,实时 提取 当前 在 线 业务 数据 。 其 "备份 窗口 ?接近 于 零 ， 
可 大 大 增加 系统 业务 的 连续 性 ,为 实现 系统 真正 的 全 天 候 运转 提供 了 保证 。 

4) 虚拟 存储 技术 

在 有 些 容 灾 方 案 中 ,还 采取 了 虚拟 存储 技术 ,如 西 瑞 异 地 容 灾 方案 。 虚 拟 化 存储 技术 在 
系统 弹性 和 可 扩展 性 上 开创 了 新 的 局 面 。 它 将 几 个 IDE 或 SCSI 驱动 器 等 不 同 的 存储 设备 


串联 成 一 个 存储 器 池 。 存 储 器 池 的 整个 存储 容量 可 以 分 为 多 个 逻辑 卷 , 并 作为 虚拟 分 区 进 
行 管 理 。 存 储 由 此 成 为 一 种 功能 而 非 物理 属性 ,而 这 正 是 基于 服务 器 的 存储 结构 存在 的 主 
要 限制 。 

虚拟 存储 系统 还 提供 动态 改变 逻辑 卷 大 小 的 功能 。 事实 上 ,存储 卷 的 容量 可 以 在 线 随 
意 增 加 或 减少 。 可 以 通过 在 系统 中 增加 或 减少 物理 磁盘 的 数量 来 改变 集群 中 逮 辑 卷 的 大 
小 。 这 一 功能 允许 卷 的 容量 随 用 户 的 即时 要 求 而 动态 改变 。 随 着 业务 的 发 展 , 可 利用 剩余 
空间 根据 需要 扩展 逻辑 卷 , 也 可 以 在 线 将 数据 从 旧 驱 动 器 转移 到 新 的 驱动 器 上 ,而 不 中 断 正 
常服 务 的 运行 。 

存储 虚拟 化 的 一 个 关键 优势 是 它 允 许 异 构 系 统 和 应 用 程序 共享 存储 设备 ,而 不 管 它 们 
位 于 何 处 。 系 统 将 不 再 需要 在 每 个 分 部 的 服务 器 上 都 连接 一 台 磁 带 设备 。 


4.5 大 数据 及 其 安全 


4.5.1 大 数据 及 其 安全 威胁 


1. 大 数据 的 概念 

大 数据 (Big Data) 是 由 数量 规模 巨大 、 结 构 非常 复杂 、 类 型 众多 的 数据 构成 的 数据 集 
合 , 大 数据 是 无 法 在 一 定时 间 内 用 常规 软件 工具 进行 采集 、 管 理 和 处 理 ,并 整理 成 为 企业 和 
机 构 经 营 决策 提供 帮助 的 信息 资源 。 

大 数据 具有 海量 的 数据 规模 、 快 速 的 数据 流转 、 多 样 的 数据 类 型 和 低 价值 密度 四 大 主要 
特征 ,大 数据 是 需要 新 处 理 模 式 才 能 具有 更 强 的 决策 力 、 洞 察 力 和 流程 优化 能 力 的 海量 、 高 
增长 率 和 多 样 化 的 信息 资产 。 

物 联网 、 云 计算 、 移 动 互联 网 .车 联网 手机、 平板 电脑 个 人 计算 机 以 及 遍布 地 球 各 个 角 
落 的 各 种 各 样 的 传感器 ,都 是 数据 来 源 或 承载 的 方式 。 大 数据 来 源 于 诸如 社会 网 络 .互联 网 
文本 和 文件 .互联 网 搜索 索引 、 传 感 器 网 络 等 网 络 ,天 文学 大气 科 学 、 基 因 组 学 .生物 地 球 化 
学 ,生物 学 等 科学 ,以 及 其 他 复杂 或 跨 学 科 的 科研 、 军 事 侦察 .医疗 记 录 、 摄 影 档 案 馆 ,视频 档 
案 和 大 规模 的 电子 商务 。 随 着 云 时代 的 来 临 ,大 数据 也 吸引 了 越 来 越 多 的 关注 。 

2. 大 数据 的 不 安全 因素 

由 于 大 数据 是 由 数量 巨大 、 结 构 复杂 、 类 型 众多 的 数据 构成 的 ,因此 具有 和 多样 化 高效 
率 、 可 变性 和 复杂 性 等 特点 ,目前 已 经 渗透 到 各 个 行业 和 业务 职能 领域 ,逐渐 成 为 重要 的 生 
产 因素 。 大 数据 作为 社会 的 又 一 个 基础 性 资源 ,将 给 社会 进步 和 经 济 发 展 带 来 强大 的 驱动 
力 , 对 国家 的 治理 模式 ,对 企业 的 决策 、 组 织 和 业务 流程 ,对 个 人 的 工作 、 生 活 方式 都 将 产生 
巨大 的 影响 , 越 来 越 受 到 社会 各 界 的 关注 。 与 此 同时 ,大 数据 在 应 用 中 的 安全 问题 也 越 来 越 
突出 。 大 数据 存在 数据 被 窃取 、 个 人 数据 隐私 权 受 到 冲击 (例如 亚马逊 和 淘宝 记录 着 众多 个 
人 注册 信息 与 购物 习惯 ,谷歌 和 百度 记录 着 人 们 的 网 页 浏览 习惯 ,QQ 和 微 信 记 录 着 人 们 的 
言论 和 社交 关系 网 等 ) 和 容易 成 为 网 络 攻击 的 目标 等 安全 隐忧 。 例 如 ,大 数据 在 企业 应 用 中 
存在 如 下 不 安全 因素 。 

(1) 业务 复杂 化 ,安全 风险 难以 识别 。 其 表现 为 新 业务 快速 上 线 ,管理 员 未 及 时 得 知 并 
纳入 安全 管理 ; 虚拟 化 环境 的 网 络 流量 无 法 可 视 、 可 控 ; 加 密 流量 越 来 越 多 ,非法 行为 隐蔽 
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性 强 ,以 及 合法 的 用 户 身份 被 轻易 冒 用 难以 被 发 现 。 

(2) 恶意 人 员 已 经 人 侵 到 内 部 而 用 户 毫 不 知情 。 表 现 为 云 计算 、 移 动 互联 网 等 新 业务 
兴起 ,网 络 边界 模糊 ,基于 边界 的 防御 日 益 不 足 , 新 型 攻击 不 断 , 传 统 的 防御 系统 容易 被 
突破 。 

(3) 安全 运 维 更 加 复杂 ,工作 繁重 低 效 。 表 现 为 现在 的 安全 攻防 技术 日 新 月 异 , 使 得 系 
统 运 维 人 员 学 习 和 接受 难度 大 ; 安全 设备 专业 化 程度 高 , 错 配 漏 配 率 高 ; 安全 问题 需要 分 
析 各 类 安全 设备 上 的 大 量 日 志 才 能 发 现 ,以 及 繁重 的 安全 运 维 工作 ,工作 价值 及 成 果 展 示 
困难 。 


4.5.2 大 数据 的 安全 策略 


大 数据 时 代 要 求人 们 从 安全 技术 应 用 ,安全 管理 、 法 律 体系 、 产 业 方 向 等 多 个 层面 构建 
协同 联动 的 信息 安全 保障 体系 ,以 减少 大 数据 时 代 信 息 安全 的 系统 威胁 和 风险 ,为 信息 安全 
保驾 护航 。 

1. 大 数据 安全 技术 

大 数据 代表 了 先进 的 生产 力 方向 ,已 经 成 为 不 可 阻挡 的 趋势 。 大 数据 时 代 一 旦 发 生 网 
络 攻击 或 泄密 事件 ,产生 的 后 果 将 更 为 严重 ,因此 ,大 数据 的 安全 问题 至 关 重要 。 解 决 大 数 
据 安全 问题 ,需要 利用 大 数据 的 安全 技术 。 

常规 的 数据 处 理 技术 是 不 能 满足 大 数据 的 需要 的 ,而 大 数据 的 分 析 和 处 理 常 常 与 云 计 
算 联系 在 一 起 , 即 大 数据 与 云 计算 的 关系 是 密 不 可 分 的 。 由 于 大 数据 无 法 用 单 台 计算 机 进 
行 处 理 ,而 实时 的 大 型 数据 分 析 需 要 像 MapReduce( 大 规模 数据 集 并 行 运算 技术 ) 一 样 的 框 
架 来 向 数 十 \ 数 百 甚至 数 千 台 的 计算 机 分 配 工作 ,因此 必须 采用 分 布 式 架构 。 

大 数据 技术 在 于 对 海量 数据 进行 分 布 式 数据 挖掘 ,必须 依托 云 计算 的 分 布 式 处 理 、 分 布 
式 数 据 库 和 云 存 储 、 虚 拟 化 技术 。 适 用 于 大 数据 的 技术 包括 大 规模 并 行 处 理 数据 库 ,数据 挖 
掘 技术 、 分 布 式 文件 系统 、 分 布 式 数据 库 、 云 计算 平台 、 互 联网 和 可 扩展 存储 系统 等 。 

大 数据 的 安全 保护 可 采取 密码 技术 把 威胁 和 风险 控制 在 允许 范围 内 ,例如 通过 数据 加 
密 、 密 码 认证 .密码 协议 等 方式 ,形成 互联 网 的 加 密 通道 ,在 现 有 的 互联 网 系统 外 围 形成 一 层 
防护 “围栏 ,将 各 类 威胁 大 数据 安全 的 攻击 屏蔽 在 “围栏 "之 外 。 

2. 大 数据 安全 重点 要 解决 的 问题 

大 数据 作为 社会 的 又 一 个 基础 性 资源 ,将 给 社会 进步 、 经 济 发 展 带 来 强大 的 驱动 力 , 解 
决 大 数据 的 安全 问题 ,已 经 成 为 全 社会 最 关注 的 问题 之 一 ,大 数据 安全 要 重点 解决 如 下 三 个 
问题 。 

1) 用 大 数据 安全 技术 解决 系统 问题 

大 数据 的 发 展 趋势 是 数据 的 资源 化 .与 云 计算 的 深度 结合 .科学 理论 的 突破 、 数 据 科 学 
和 数据 联盟 的 成 立 .数据 泄露 泛滥 .数据 管理 成 为 核心 竞争 力 、 数 据 质量 是 BI( 商 业 智能 ) 成 
功 的 关键 和 数据 生态 系统 复合 化 程度 加 强 等 。 

目前 我 国 在 大 数据 发 展 和 应 用 方面 已 具备 一 定 的 基础 ,拥有 市 场 优势 和 发 展 潜力 。 坚 
持 创新 驱动 发 展 ,加 快 大 数据 部 署 .深化 大 数据 应 用 ,使 其 成 为 稳 增长 , 促 改革 、 调 结构 、 惠 民 
生 和 推动 政府 治理 能 力 现代 化 的 内 在 需要 和 必然 选择 。 

传统 解决 网 络 安全 的 基本 思路 是 划分 边界 ,在 每 个 边界 设立 网 关 设备 和 网 络 流量 设备 ， 





用 守住 边界 的 办 法 来 解决 安全 问题 。 但 随 着 移动 互联 网 ` 云 服务 的 应 用 ,网 络 边界 实际 上 已 
经 消亡 。 基 于 边界 防护 的 网 络 安全 思想 或 传统 网 络 安全 思想 已 不 可 行 。 网 络 攻击 一 定 会 时 
有 发 生 ,让 网 络 攻击 能 够 被 发 现 并 有 针对 性 地 对 其 进行 防护 ,也 就 是 运用 大 数据 的 安全 技术 
解决 大 数据 的 安全 问题 。 

2) 收集 内 部 数据 全 面 消除 安全 死角 

要 使 大 数据 系统 安全 ,一 定 要 全 面 消除 大 数据 安全 的 死角 。 就 像 全 面 安防 系统 一 样 ,如 
果 安 防 摄像 头 布防 得 有 空 档 ,就 很 难保 证 任何 一 个 安全 事件 的 发 生 都 能 被 发 现 。 在 以 往 的 
网 络 安全 解决 方案 里 ,对 服务 器 和 边界 数据 的 收集 重视 程度 很 高 ,但 对 于 终端 的 安全 防护 和 
数据 收集 却 非常 薄弱 。 

在 大 数据 的 网 络 安全 系统 中 ,必须 消除 内 部 的 数据 死角 ,网络 收集 技术 一 定 要 全 面 。 任 
何 一 个 在 内 部 发 生 的 网 络 访问 、 网 络 下 载 ,都 是 要 把 数据 收集 起 来 ,如 果 从 终端 服务 器 到 各 
种 各 样 的 网 络 数据 收集 不 全 ,就 没 办 法 形成 安全 的 大 数据 。 

3) 利用 专业 的 威胁 情报 和 漏洞 服务 

当前 网 络 安 全 形势 日 益 严峻 ,网 络 攻击 已 经 屡见不鲜 ,在 发 达 国 家 或 地 区 ,网 络 威胁 情 
报 服 务 和 漏洞 服务 已 经 非常 发 达 。 购 买 威胁 情报 服务 和 安全 服务 的 做 法 非常 流行 ,几乎 没 
有 一 家 企业 不 购买 漏洞 服务 。 因 为 发 生 在 一 个 企业 的 网 络 攻 击 事件 ,很 可 能 有 同样 的 网 络 
攻击 样本 或 方法 在 另外 一 个 地 方 已 经 发 生 过 ,如 果 通 过 网 络 安全 公司 及 时 获取 相关 的 威胁 
警报 ,就 可 以 及 时 防范 同样 的 网 络 攻击 发 生 在 自己 的 网 络 中 。 

3. 大 数据 的 安全 管理 

数据 作为 一 种 资源 , 它 的 普遍 性 ,共享 性 ,增值 性 、 可 处 理性 和 多 效用 性 ,使 其 具有 特别 
重要 的 意义 。 信 息 安 全 是 任何 国家 和 地 区 、 政 府 .部门 .行业 都 必须 十 分 重视 的 问题 ,是 一 个 
不 容 忽视 的 国家 和 地 区 安全 战略 。 但 是 ,对 于 不 同 的 部 门 和 行业 来 说 ,其 对 信息 安全 的 要 求 
和 重点 却 是 有 不 同 的 。 信 息 安 全 的 实质 就 是 要 保护 信息 系统 或 信息 网 络 中 的 信息 资源 免 受 
各 种 类 型 的 威胁 .干扰 和 破坏 , 即 保证 信息 的 安全 性 。 

从 信息 安全 的 角度 来 看 ,围绕 大 数据 的 问题 应 做 到 以 下 方面 。 

(1) 提高 安全 意识 ,及 时 出 台 相 关 法 律 和 规章 制度 。 

(2) 提高 网 络 管理 员 和 个 人 用 户 接受 和 应 用 新 型 网 络 安全 的 技术 。 

(3) 加 强制 度 建设 ,规范 互联 网 行为 。 

(4) 保障 网 络 安全 。 


(5) 保障 云 安全 。 
(6) 保障 移动 互联 网 、 物 联网 安全 。 
(7) 保护 个 人 隐私 。 
习题 和 思考 题 
-、 简 答题 


1. 简 述 数据 库 安全 管理 原则 。 
2. 简 述 数据 库 系 统 的 缺陷 和 威胁 。 
3. 简 述 数据 库 的 安全 性 策略 。 


网 络 数 据 亩 与 数据 安 会 


夫人 器 
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4. 何 为 数据 的 完整 性 ?影响 数据 完整 性 的 因素 有 哪些 ? 
5. 何 为 数据 备份 ? 数据 备份 有 哪些 类 型 ? 

6. 何 为 数据 恢复 ? 数据 恢复 措施 有 哪些 ? 

7. 大 数据 有 哪些 安全 策略 ? 


二 、 填空 题 

1. 按 数 据 备份 时 备份 的 数据 不 同 ,可 有 ( WR a ) 和 按 需 备份 等 备份 
方式 。 

2. 数据 恢复 操作 的 种 类 有 (  ”)、( ”) 和 重 定向 恢复 。 

3. 数据 库 安全 包括 数据 库 ( ”“”) 安 全 和 数据 库 (  ) 安 全 两 层 含 义 。 

4.( ” ) 是 指 在 多 用 户 环境 下 ,对 数据 库 的 并 行 操作 进行 规范 的 机 制 ,从 而 保证 数据 
的 正确 性 与 一 致 性 。 


5. 当 故 障 影响 数据 库 系 统 操作 ,甚至 使 数据 库 中 全 部 或 部 分 数据 丢失 时 ,希望 能 尽快 
恢复 到 原 数 据 库 状 态 或 重建 一 个 完整 的 数据 库 ,该 处 理 称 为 ( )。 
6.〈 ”) 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 丢失 ,而 将 全 系统 或 部 分 
数据 从 主机 的 硬盘 或 阵列 中 复制 到 其 他 存储 介质 上 的 过 程 。 
7. 影响 数据 完整 性 的 主要 因素 有 ( ) .软件 故障 、( ”)、 人 为 威胁 和 意外 灾难 等 。 
三 、 单 项 选择 题 
1. 按 数 据 备份 时 数据 库 状 态 的 不 同 有 (  ” )。 
A. 热 备份 B. 冷 备份 C. 逻辑 备份 D. A、B.C 都 对 
2. 数据 库 系统 的 安全 框架 可 以 划分 为 网 络 系统 ( ”) 和 DBMS 三 个 层次 。 
A. 操作 系统 B. 数据 库 系统 C. 软件 系统 D. 容错 系统 
3. 按 备份 周期 对 整个 系统 所 有 的 文件 进行 备份 的 方式 是 ( 。 “”) 备 份 。 
A, 完全 B. 增 量 C. 差别 D. 按 需 
4. 数据 的 ( ”“) 是 指 保护 网 络 中 存储 和 传输 数据 不 被 非法 改变 。 
A. 一 致 性 B. 独立 性 C. 保密 性 D. 完整 性 
5. 软件 错误 ,文件 损坏 数据 交换 错误 、 操 作 系 统 错误 是 影响 数据 完整 性 的 ( )。 
A， 人 为 因素 B. 软件 和 数据 文件 故障 
C. 硬件 故障 D. 网 络 故障 








第 5 章 数据 加 密 技术 与 应 用 


本 章 要 点 

。 密码 学 基础 ; 

。 数据 加 密 体制 ; 

。 数字 签名 与 认证 ; 
。 网 络 保密 通信 。 


安全 立法 措施 对 保护 网 络 系统 安全 有 不 可 蔡 代 的 作用 ,但 依靠 法 律 阻止 不 了 攻击 者 对 
网 络 数据 的 各 种 威胁 ; 加 强行 政 ` 人 事 管理 ,采取 物理 保护 措施 等 都 是 保护 系统 安全 不 可 缺 
少 的 有 效 措 施 , 但 有 时 这 些 措施 也 会 受到 各 种 环境 、 费 用 .技术 以 及 系统 工作 人 员 素质 等 条 
件 的 限制 ; 采用 访问 控制 .系统 软 硬 件 保护 的 方法 保护 网 络 系统 资源 ,简单 易 行 ,但 也 存在 
一 些 不 易 解决 的 问题 ; 采用 加 密 技 术 保 护 网 络 中 存储 和 传输 中 的 数据 ,是 一 种 非常 实用 、 经 
济 、 有 效 的 方法 。 对 信息 进行 加 密 保护 可 以 防止 攻击 者 窃取 网 络 中 的 机 密 信息 , 从 而 使 系统 
信息 不 被 无 关 者 识别 。 本 章 主要 介绍 数据 加 密 技术 及 其 应 用 。 


5.1 密码 学 基础 


简 而 言 之 ,密码 学 (Cryptography) 就 是 研究 密码 的 科学 ,具体 包括 加 密 和 解密 变换 。 虽 
然 密 码 学 作为 科学 只 是 到 了 现代 才 得 到 了 快速 发 展 ,但 密码 的 应 用 却 有 着 久远 的 历史 ,只 是 
由 于 密码 技术 的 使 用 仅 限于 较 小 的 领域 ,如 军事 、 外 交 、 情 报 工作 等 ,所 以 给 人 们 一 种 神 
秘 感 。 


5.1.1 密码 学 的 基本 概念 


1. 密码 学 的 发 展 

密码 学 的 发 展 历史 悠久 , 早 在 四 千 多 年 前 的 古 埃及 时 期 ,密码 就 得 到 了 应 用 ,他 们 使 用 
的 是 一 种 被 称 为 “棋盘 密码 ”的 加 密 方法 。 在 两 千 多 年 前 ,罗马 帝国 使 用 一 种 被 称 为 " 恺 撤 密 
码 ” 的 密码 体系 。 但 密码 技术 直到 现代 计算 机 技术 被 广泛 使 用 后 才 得 到 了 快速 发 展 和 应 用 。 

密码 学 的 发 展 大 致 经 历 了 以 下 几 个 阶段 。 

1) 传统 密码 学 阶段 

传统 密码 学 阶段 :也 称 为 古代 密码 学 阶段 ,一般 是 指 1949 年 以 前 的 密码 学 。 在 这 个 阶 
段 ,密码 学 还 不 是 一 门 科学 , 仅 出 现 了 针对 字符 的 一 些 基 本 密码 算法 ,而 对 信息 的 加 密 、 解 密 
则 主要 依靠 手工 和 机 械 完成 。 
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2) 计算 机 密码 学 阶段 
这 个 阶段 一 般 是 指 1949 年 一 1975 年 之 间 。 在 这 个 阶段 ,由 于 计算 机 的 出 现 及 应 用 ,使 
得 密码 学 真正 成 为 一 门 独 立 的 学 科 , 密 码 工作 者 可 以 利用 计算 机 进行 复杂 的 运算 。 但 是 , 密 
码 工作 者 使 用 的 理论 仍然 是 传统 的 密码 学 理论 。 这 时 ,密码 学 研究 的 重点 不 是 算法 的 保密 
而 是 密 钥 的 保密 。 
3) 现代 密码 学 阶段 
现代 密码 学 阶段 是 指 用 现代 密码 学 思想 研究 如 何 对 信息 进行 保密 的 阶段 ,其 中 公 钥 密 
码 学 成 为 主要 的 研究 方向 。 具 有 代表 性 的 事件 列举 如 下 。 
。 1976 年 ,由 Diffie 和 Hellman 提出 了 公开 密 钥 密码 的 概念 。 
。 1977 年 ,由 Rivest、Shamir 和 Adleman 提出 了 RSA 公 钥 算法 。 
。 1977 年 ,由 美国 国家 标准 局 提出 了 数据 加 密 标准 (DES) 。 
。 20 世纪 90 年 代 逐 步 出 现 椭圆 曲线 等 其 他 公 钥 密码 算法 ,对 称 密 钥 密码 算法 进一步 
成 熟 ,Rijndael、.RC6 .MARS、Serpent 等 出 现 。 
。 2001 年 ,由 美国 国家 标准 与 技术 研究 院 (NIST) 公 布 了 高 级 加 密 标准 (AES) ,其 加 密 
算法 Rijndael 取代 DES 算法 。2006 年 ,AES 已 成 为 对 称 密 钥 加 密 中 最 流行 的 标准 
A 
随 着 计算 机 网 络 不 断 渗透 到 国民 经 济 各 个 领域 ,密码 学 的 应 用 也 随 之 扩大 。 数 字 签 名 、 
身份 验证 等 都 是 由 密码 学 派生 出 来 的 新 技术 和 应 用 。 
2. 密码 学 的 相关 概念 
密码 学 包括 密码 编码 学 和 密码 分 析 学 两 部 分 。 前 者 是 研究 密码 变化 的 规律 并 用 于 编制 
密码 以 保护 秘密 信息 的 科学 , 即 研究 如 何 通过 编码 技术 来 改变 被 保护 信息 的 形式 ,使 得 编码 
后 的 信息 除 指定 接收 者 之 外 的 其 他 人 都 不 能 理解 ; 后 者 是 研究 密码 变化 的 规律 并 用 于 分 析 
解释) 密码 以 获取 信息 情报 的 科学 , 即 研究 如 何 攻破 一 个 密码 系统 ,恢复 被 隐藏 起 来 的 信 
息 。 密 码 编码 学 实现 对 信息 进行 保密 ,而 密码 分 析 学 则 实现 对 信息 进行 解密 ,两 者 相 辅 相 
成 、 互 相 促 进 , 同 时 也 是 矛盾 的 两 个 方面 。 
在 网 络 系统 中 ,采用 密码 技术 将 信息 隐蔽 起 来 ,再 将 隐蔽 后 的 信息 进行 存储 和 传输 。 这 
样 ,即使 信息 在 存储 或 传输 过 程 中 被 窃取 或 截获 ,那些 非法 获得 信息 者 因 不 了 解 这 些 信息 的 
隐蔽 规律 ,也 就 无 法 识别 信息 的 内 容 , 从 而 保证 了 网 络 系统 中 的 信息 安全 。 
明文 (PlainText) 也 称 明 码 ,是 信息 的 原文 ,在 网 络 中 也 称 报 文 (Message) ,通常 指 待 发 
的 电文 、 编 写 的 专用 软件 、 源 程序 等 ,可 用 P 或 M 表示 。 密 文 (CipherText) 又 称 密码 ,是 明 
文 经 过 变换 后 的 信息 ,一 般 是 难以 识别 的 ,可 用 C 表示 。 
把 明文 变换 成 密 文 的 过 程 就 是 加 密 (Encryption) ,其 反 过 程 (把 密 文 还 原 为 明文 ) 就 是 
解密 (Decryption ) 。 
密码 算法 (Algorithm) 是 加 密 和 解密 变换 的 一 些 公式 、 法 则 或 程序 ,多 数 情况 下 是 一 些 
数学 函数 。 密 码 算 法 规定 了 明文 和 密 文 之 间 的 变换 规则 。 加 密 时 使 用 的 算法 称 为 加 密 算 
法 ,解密 时 使 用 的 算法 称 为 解密 算法 。 
密 钥 (Key) 是 进行 数据 加 密 或 解密 时 所 使 用 的 一 种 专门 信息 (工具 ), 可 看 成 是 密码 中 
的 参数 ,用 K 表示 。 加 密 时 使 用 的 密 钥 称 为 加 密 密 钥 ,解密 时 使 用 的 密 钥 称 为 解密 密 钥 。 
数据 加 密 过 程 就 是 利用 加 密 密 钥 ,对 明文 按照 加 密 算法 的 规则 进行 变换 ,得 到 密 文 的 过 程 。 


解密 过 程 就 是 利用 解密 密 钥 ,对 密 文 按照 解密 算法 的 规则 进行 变换 ,得 到 明文 的 过 程 。 
使 用 密码 算法 和 密 钥 的 加 密 和 解密 过 程 如 图 5. 1. 1 所 示 。 其 中 了 为 明文 ,C 为 密 文 ， 
E 为 加 密 操 作 ,D 为 解密 操作 ,K。 为 加 密 密 钥 ,Ks 为 解密 密 钥 。 


明文 P 密 明文 P 


加 密 密 钥 K。 攻击 者 解密 密 钥 Ka 
图 5.1.1 一 般 的 密码 系统 示意 图 





密码 系统 是 由 算法 、 明 文 、 密 文 和 密 钥 组 成 的 可 进行 加 密 和 人 解密 信息 的 系统 。 

根据 被 破译 密码 的 难 易 程 度 ,不 同 的 密码 算法 可 有 不 同 的 安全 等 级 。 如 果 破 译 密码 算 
法 的 代价 大 于 加 密 数 据 的 价值 ,如 果 破 译 算法 所 需 的 时 间 比 加 密 数 据 保密 的 时 间 更 长 ,如 果 
使 用 密 钥 加 密 的 数据 量 比 破译 算法 需要 的 数据 量 少 得 多 ,无 论 是 上 述 哪 种 情况 都 可 以 认为 
密码 算法 是 安全 的 。 

密码 算法 可 以 公开 也 可 以 被 分 析 , 所 有 加 密 系统 的 安全 性 一 般 都 是 基于 密 钥 的 安全 性 ， 
而 不 是 基于 算法 细节 的 安全 性 。 只 要 破译 者 不 知道 用 户 使 用 的 密 钥 ,他 就 对 用 户 的 密码 系 
统 无 能 为 力 ,就 不 能 破译 其 密 文 。 

如 图 5.1.1 所 示 ,加密 算法 实际 上 是 要 完成 其 函数 C=={(P,K.) 的 运算 。 对 于 一 个 确定 
的 加 密 密 钥 K. ,加 密 过 程 可 看 作 是 只 有 一 个 自 变 量 的 函数 , 记 作 Ex, 称 为 加 密 变换 。 因 此 
加 密 过 程 也 可 记 为 

"一 EL(P) 
即 加 密 变换 作用 到 明文 P 后 得 到 密 文 C。 同 样 ,解密 算法 也 完成 某 种 函数 P=g(CKi',C) 的 
运算 ,对 于 一 个 确定 的 解密 密 钥 Ku 来 说 ,解密 过 程 可 记 为 

P= D(C) 
Du 称 为 解密 变换 ,Dr 作用 于 密 文 C 后 得 到 明文 P。 

由 此 可 见 , 密 文 C 经 解密 后 还 原 成 原来 的 明文 ,必须 有 
P= D(E(P)) = De。Ek(CP) 

此 处 *。 ”是 复合 运算 ,因此 要 求 

D.-E:.=I 
I 为 恒 等 变 换 , 表 明 Di 与 Ex 是 互 逆 变 换 。 

3. 密码 的 分 类 

1) 按 密码 的 历史 发 展 阶段 和 应 用 技术 分 类 

按 密码 的 历史 发 展 阶段 和 应 用 技术 分 类 ,可 分 为 手工 密码 ` 机 械 密码 .电子 机 内 乱 密 码 
和 计算 机 密码 。 

手工 密码 是 以 手工 完成 ,或 以 简单 器 具 辅 助 完 成 加 密 和 解密 过 程 的 密码 。 

机 械 密码 是 以 机 械 密码 机 或 电动 密码 机 来 实现 加 密 和 解密 过 程 的 密码 。 

电子 机 内 乱 密码 是 通过 电子 电路 ,以 严格 的 程序 进行 逻辑 加 密 或 解密 运算 的 密码 。 

计算 机 密码 是 指 以 计算 机 程序 完成 加 密 或 解密 过 程 的 密码 。 

2) 按 密码 转换 的 操作 类 型 分 类 

按 密码 转换 的 操作 类 型 分 类 ,可 分 为 蔡 代 密码 和 移 位 密码 。 


规 四 器 
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蔡 代 密 码 是 指 将 明文 中 的 某 些 字符 用 其 他 的 字符 替换 ,从 而 将 明文 转换 成 密 文 的 加 密 
去 式 。 

移 位 密码 是 指 将 明文 中 的 字符 进行 移 位 处 理 , 从 而 将 明文 转换 成 密 文 的 加 密 方式 。 

加 密 算 法 中 可 以 重复 地 使 用 替代 和 移 位 两 种 基本 的 加 密 变换 。 

3) 按 明文 加 密 时 的 处 理 方法 分 类 

按 明文 加 密 时 的 处 理 方法 分 类 ,可 分 为 分 组 密码 和 序列 密码 。 

分 组 密码 的 加 密 过 程 是 : 首先 将 明文 序列 以 固定 的 长 度 为 单位 进行 分 组 ,每 组 明文 用 
相同 的 密 钥 和 算法 进行 变换 ,得 到 一 组 密 文 。 分 组 密码 的 加 密 和 人 解密 运算 过 程 中 的 每 一 位 
是 由 输入 的 每 一 位 和 密 钥 的 每 一 位 共同 决定 的 。 分 组 密码 具有 良好 的 扩散 性 、 对 插入 信息 
的 敏感 性 、 较 强 的 适应 性 、 加 解密 速度 慢 等 特点 。 

序列 密码 的 加 密 过 程 是 : 先 把 报 文 .语音 和 图 像 等 原始 信息 转换 为 明文 数据 序列 ,再 将 
其 与 密 钥 序 列 进行 “ 异 或 ”运算 ,生成 密 文 序列 发 送 给 接收 者 。 接 收 者 用 相同 的 密 钥 序列 与 
密 文 序列 再 进行 逐 位 解密 ( 异 或 ) ,恢复 明文 序列 。 序 列 密码 加 密 和 解密 密 钥 可 通过 采用 一 
个 比特 流 发 生 器 随机 产生 二 进 制 比特 流 而 得 到 。 该 密 钥 与 明文 结合 产生 密 文 ,与 密 文 结合 
产生 明文 。 序 列 密码 的 安全 性 主要 依赖 于 随机 密 钥 序列 。 序 列 密码 具有 错误 扩展 小 、 速 度 
快 、 便 于 同步 和 安全 程度 高 等 优点 。 

4) 按 密 钥 的 类 型 分 类 

按 密 钥 的 类 型 分 类 ,可 分 为 对 称 密 钥 密 码 和 非 对 称 密 钥 密码 。 

对 称 密 钥 密码 也 称 为 传统 密 钥 密 码 , 其 加 密 密 钥 和 解密 密 钥 相同 或 相近 ,由 其 中 一 个 可 
以 很 容易 地 得 出 另 一 个 ,因此 ,加 密 密 钥 和 解密 密 钥 都 是 保密 的 。 

非 对 称 密 钥 密 码 也 称 为 公开 密 钥 密 码 ,其 加 密 密 钥 与 解密 密 钥 不 同 ,由 其 中 一 个 很 难得 
到 另 一 个 。 在 这 种 密码 系统 中 通常 其 中 一 个 密 钥 是 公开 的 ,而 另 一 个 是 保密 的 。 

4. 典型 密码 介绍 

1) 莫 尔 斯 电码 

莫 尔 斯 电码 是 一 种 时 通 时 断 的 信号 代码 ,这 种 信号 代码 通过 不 同 的 排列 顺序 来 表达 不 
同 的 英文 字母 ,数字 和 标点 符号 等 。 最 早 的 莫 尔 斯 电码 是 一 些 表 示 数 字 的 点 和 划 ( 用 一 个 电 
键 敲 击 出 的 点 、 划 以 及 中 间 的 停顿 ) ,数字 对 应 单词 ,需要 查找 一 本 代码 表 才 能 知道 每 个 词 对 
应 的 数 。 

2) 四 方 密码 

四 方 密码 是 一 种 对 称 式 密码 ,由 法 国人 Felix Delastelle 发 明 。 这 是 一 种 将 字母 两 两 分 
为 一 组 ,然后 采用 多 字母 替换 而 得 到 的 密码 。 

3) 希 尔 密码 

希 尔 密码 是 由 Lester S. Hill 于 1929 年 发 明 的 运用 基本 矩阵 原理 产生 的 替换 密码 。 这 
是 一 种 较为 常用 的 古典 密码 ,具有 相同 明文 加 密 成 不 同 密 文 的 特点 ,因此 较 移 位 密码 、 仿 射 
密码 等 更 为 安全 实用 。 该 算法 可 简便 高 效 地 实现 所 有 ASCII 字符 的 希 尔 加 密 和 人 解密 ,其 中 
求 逆 矩阵 的 算法 较为 简捷 实用 。 

4) 波 雷 费 密码 

波 雷 费 密码 是 一 种 对 称 式 密码 ,是 最 先进 行 双 字母 替代 的 加 密 法 。 


5) 仿 射 密码 
仿 射 密码 也 是 一 种 蔡 换 密码 , 它 是 一 个 字母 对 应 一 个 字母 的 。 仿 射 密码 的 安全 性 很 差 ， 
主要 是 因为 其 原理 简单 ,没有 隐藏 明文 的 字 频 信息 ,因此 很 容易 被 破译 。 


5.1.2 传统 密码 技术 


传统 密码 技术 一 般 是 指 在 计算 机 出 现 之 前 所 采用 的 密码 技术 , 主要 由 文字 信息 构成 。 
在 计算 机 出 现 前 ,密码 学 是 由 基于 字符 的 密码 算法 所 构成 的 。 不 同 的 密码 算法 主要 是 由 字 
符 之 间 互 相 代 换 或 互相 换 位 所 形成 的 算法 。 

现代 密码 学 技术 由 于 有 计算 机 参与 运算 所 以 变 得 复杂 了 许多 ,但 原理 没 变 。 主 要 变化 
是 算法 对 比特 而 不 是 对 字母 进行 变换 ,实际 上 这 只 是 字母 表 长 度 上 的 改变 ,从 26 个 元 素 变 
为 2 个 元 素 ( 二 进 制 )。 大 多 数 好 的 密码 算法 仍然 是 蔡 代 和 换 位 的 元 素 组 合 。 

传统 加 密 方法 加 密 的 对 象 是 文字 信息 。 文 字 由 字母 表 中 的 字母 组 成 ,在 表 中 字母 是 按 
顺序 排列 的 ,可 赋予 它们 相应 的 数字 标号 ,可 用 数学 方法 进行 变换 。 将 字母 表 中 的 字母 看 作 
是 循环 的 , 则 由 字母 加 减 形成 的 代码 就 可 用 求 模 运算 来 表示 (在 标准 的 英文 字母 表 中 ,其 模 
数 为 26) ,如 A 二 4 二 E,X 十 6 二 D(C(mod 26) 等 。 

1. 替代 密码 

替代 是 古典 密码 中 最 基本 的 变换 技巧 之 一 。 蔡 代 变 换 要 先 建立 一 个 替换 表 , 加 密 时 将 
需要 加 密 的 明文 依次 通过 查 表 替 换 为 相应 的 字符 ,明文 字符 被 逐个 替换 后 ,生成 无 任何 意义 
的 字符 串 ( 密 文 ) ,替代 密码 的 密 钥 就 是 替换 表 。 

根据 密码 算法 加 密 时 使 用 替换 表 多 少 的 不 同 , 替 代 密 码 又 可 分 为 单 表 蔡 代 密 码 和 多 表 
替代 密码 。 单 表 替 代 密 码 的 密码 算法 加 密 时 使 用 一 个 固定 的 替换 表 , 多 表 替 代 密 码 的 密码 
算法 加 密 时 使 用 多 个 替换 表 。 

1) 单 表 替代 密码 

单 表 替代 密码 对 明文 中 的 所 有 字母 都 使 用 一 个 固定 的 映射 (明文 字母 表 到 密 文字 母 
表 ) ,加 密 的 变换 过 程 就 是 将 明文 中 的 每 一 个 字母 替换 为 密 文 字母 表 的 一 个 字母 ,而 解密 过 
程 与 之 相反 。 单 表 替 代 密 码 又 可 分 为 一 般 单 表 替代 密码 、 移 位 密码 、 仿 射 密码 和 密 钥 短语 
密码 。 

2) 多 表 蔡 代 密 码 

多 表 蔡 代 密 码 的 特点 是 使 用 了 两 个 或 两 个 以 上 的 蔡 代表。 著名 的 弗吉尼亚 密码 和 和 希 尔 
密码 均 是 多 表 替 代 密 码 。 弗 吉 尼 亚 密码 是 最 古老 且 最 著名 的 多 表 替 代 密 码 体制 之 一 ,与 移 
位 密码 体制 相似 ,但 其 密码 的 密 钥 是 动态 周期 变化 的 。 希 尔 密码 算法 的 基本 思想 是 加 密 时 
将 n 个 明文 字母 通过 线性 变换 ,转换 为 n 个 密 文 字母 ,解密 时 只 需 做 一 次 逆 变 换 即 可 。 

2. 移 位 密码 

移 位 密码 是 指 将 明文 的 字母 保持 不 变 , 但 字母 顺序 被 打 乱 后 形成 的 密码 。 移 位 密码 的 
特点 是 只 对 明文 字母 重新 排序 ,改变 字母 的 位 置 ,而 不 隐藏 它们 ,是 一 种 打 乱 原文 顺序 的 蔡 
代 法 。 在 简单 的 移 位 密码 中 ,明文 以 固定 的 宽度 水 平地 写 在 一 张 图 表 纸 上 , 密 文 按 垂 直方 向 
读 出 。 解 密 就 是 将 密 文 按 相 同 的 宽度 垂直 地 写 在 图 表 纸 上 ,然后 水 平地 读 出 , 即 可 得 到 
明文 。 
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3. 一 次 一 密 钥 密码 

一 次 一 密 钥 密码 就 是 指 每 次 都 使 用 一 个 新 的 密 钥 进行 加 密 , 然 后 该 密 钥 就 被 丢弃 ,再 要 
加 密 时 需 选 择 一 个 新 密 钥 进行 。 一 次 一 密 钥 密码 是 一 种 理想 的 加 密 方案 。 

一 次 一 密 钥 密码 的 密 钥 就 像 每 页 都 印 有 密 钥 的 本 子 一 样 , 称 为 一 次 一 密 密 钥 本 ,该 密 钥 
本 就 是 一 个 包括 多 个 随机 密 钥 的 密 钥 字母 集 , 其 中 每 一 页 记录 一 条 密 钥 。 加 密 时 使 用 一 次 
一 密 密 钥 本 的 过 程 类 似 于 日 历 的 使 用 过 程 , 每 使 用 一 个 密 钥 加 密 一 条 信息 后 ,就 将 该 页 撕 掉 
作废 ,下 次 加 密 时 再 使 用 下 一 页 的 密 钥 。 

发 送 者 使 用 密 钥 本 中 每 个 密 钥 字 母 串 去 加 密 一 条 明文 字母 串 , 加 密 过 程 就 是 将 明文 字 
母 串 和 密 钥 本 中 的 密 钥 字母 串 进行 模 加 法 和 运算。 接收 者 有 一 个 同样 的 密 钥 本 ,并 依次 使 用 
密 钥 本 上 的 每 个 密 钥 去 解密 密 文 的 每 个 字母 串 。 接 收 者 在 解密 信息 后 也 要 销毁 密 钥 本 中 用 
过 的 一 页 密 钥 。 

如 果 破 译 者 不 能 得 到 加 密 信息 的 密 钥 本 ,那么 该 方案 就 是 安全 的 。 由 于 每 个 密 钥 序 列 
都 是 等 概率 的 (因为 密 钥 是 以 随机 方式 产生 的 ) ,因此 破译 者 没有 任何 信息 用 来 对 密 文 进行 
密码 分 析 。 

一 次 一 密 钥 的 密 钥 字母 必须 是 随机 产生 的 。 对 这 种 方案 的 攻击 实际 上 是 依赖 于 产生 密 
钥 序列 的 方法 。 不 要 使 用 伪 随 机 序列 发 生 器 产生 密 钥 ,因为 它们 通常 具有 非 随 机 性 。 如 果 
采用 真 随机 序列 发 生 器 产生 密 钥 ,这 种 方案 就 是 安全 的 。 


5.2 数据 加 密 体制 


数据 加 密 体 制 也 称 密码 体制 ,按照 使 用 的 密 钥 类 型 的 不 同 , 可 分 为 对 称 密 钥 密码 体制 和 
公开 密 钥 密码 体制 。 


5.2.1 对 称 密 角 密码 体制 


1. 对 称 密 钥 密码 算法 

对 称 密 钥 密 码 算法 也 称 传统 密 钥 密码 算法 。 在 该 算法 中 ,加 密 密 钥 和 解密 密 钥 相同 或 
相近 ,由 其 中 一 个 很 容易 得 出 另 一 个 ,加 密 密 钥 和 解密 密 钥 都 是 保密 的 。 在 大 多 数 对 称 密 钥 
密码 算法 中 ,加 密 密 钥 和 解密 密 钥 是 相同 的 , 即 K. 二 Ks 二 K( 见 图 5. 1. 1) ,对 称 密 钥 密码 的 
算法 是 公开 的 ,其 安全 性 完全 依赖 于 密 钥 的 安全 。 

对 称 密 钥 密码 体制 是 加 密 和 解密 使 用 同样 的 密 钥 ,这些 密 钥 由 发 送 者 和 接收 者 分 别 保 
存 , 在 加 密 和 解密 时 使 用 。 该 体制 具有 算法 简单 .加 密 / 解 密 速度 快 、 便 于 用 硬件 实现 等 优 
点 。 但 它 也 存在 密 钥 位 数 少 、 保 密 强度 不 够 以 及 密 钥 管理 ( 密 钥 的 生成 ,保存 和 分 发 等 ) 复 杂 
等 不 足 之 处 。 特 别 是 在 网 络 中 随 着 用 户 的 增加 , 密 钥 的 需求 量 也 成 倍增 加 。 在 网 络 通信 中 ， 
大 量 密 钥 的 分 配 和 保管 是 一 个 很 复杂 的 问题 。 

在 计算 机 网 络 中 广泛 使 用 的 对 称 加 密 算法 有 DES、TDEA、AES、IDEA 等 。 

2. DES 算法 

DES(Data Encryption Standard, 数 据 加 密 标准 ) 算 法 是 具有 代表 性 的 一 种 密码 算法 。 
DES 算法 最 初 是 由 IBM 公司 所 研制 的 ,于 1977 年 由 美国 国家 标准 局 颁布 作为 非 机 密 数 据 
的 数据 加 密 标准 ,并 在 1981 年 由 国际 标准 化 组 织 将 其 作为 国际 标准 颁布 。 





DES 算法 采用 的 是 以 56 位 密 钥 对 64 位 数据 进行 加 密 的 算法 ,主要 适用 于 对 民用 信息 
的 加 密 , 广 泛 应 用 于 自动 取款 机 (ATM) IC 卡 、 加 油 站 ,收费 站 等 商业 贸易 领域 。 

1) DES 算 法 原理 

在 DES 算法 中 有 Data、Key、Mode 三 个 参数 。 其 中 ,Data 代表 需要 加 密 或 解密 的 数 
据 , 由 8 字 节 64 位 组 成 ; Key 代表 加 密 或 解密 密 钥 , 也 由 8 字 节 64 位 组 成 ; Mode 代表 加 密 
或 解密 的 状态 。 

在 DES 算法 中 加 密 和 解密 的 原理 是 一 样 的 ,只 是 因为 Mode 的 状态 不 同 ,适用 密 钥 的 
顺序 不 同 而 已 。 下 面 以 数据 加 密 过 程 为 例 予 以 说 明 。 

2) DES 算 法 的 加 密 过 程 

DES 算法 的 加 密 过 程 如 图 5. 2. 1 所 示 。DES 加 密 有 ”输入 64 位 明文 64 位 密 钥 组 
初始 置换 . 子 密 钥 生 成 、 乘 积 变换 和 逆 初 始 置换 四 个 主要 
过 程 ,图 左 侧 的 三 个 过 程 是 明文 的 处 理 过 程 , 右 侧 是 子 密 
钥 的 生成 过 程 。 

(1) 初始 置换 (Initial Permutation,IP) 是 对 输入 的 
64 位 数据 按照 规定 的 矩阵 改变 数据 位 的 排列 顺序 的 换 位 
变换 ,此 过 程 与 密 钥 无 关 。 

(2) 子 密 钥 生 成 是 由 64 位 外 部 输入 密 钥 通 过 置换 和 
移 位 操作 生成 加 密 和 解密 所 需 的 16 组 (Ki,i 二 1~16) 每 。 输出 4 位 密 广 
组 48 位 子 密 钥 的 过 程 。 图 5.2.1 DES 算法 加 密 流 

(3) 乘积 变换 过 程 非常 复杂 ,是 加 密 过 程 的 关键 。 该 
过 程 通过 16 轮 重复 的 扩展 变换 、 压 缩 变换 、 蔡 代 、 移 位 和 异 或 操作 打 乱 原 输入 数据 。 

(4) 闭 初 始 置换 (CIP ) 与 初始 置换 过 程 相 同 , 只 是 置换 矩阵 是 初始 置换 的 逆 和 矩阵 。 

3) DES 算法 的 解密 过 程 

DES 算法 的 解密 算法 与 加 密 算法 相同 ,解密 密 钥 也 与 加 密 密 钥 相同 ,区 别 仅 在 于 进行 
16 轮 迭 代 运 算 时 使 用 的 子 密 钥 顺 序 与 加 密 时 是 相反 的 , 即 第 1 轮 用 子 密 钥 Kw, 第 2 轮 用 
Ki ,… ,最 后 一 轮 用 子 密 钥 Ki 。 

4) DES 算法 的 特点 及 应 用 

DES 算法 是 世界 上 使 用 最 为 广泛 和 流行 的 一 种 分 组 密码 算法 ,被 公认 为 世界 上 第 一 个 
实用 的 密码 算法 标准 。 它 的 出 现 适应 了 电子 化 和 信息 化 的 要 求 ,也 适用 于 硬件 实现 ,因此 该 
算法 被 制 成 专门 的 芯片 ,应 用 于 加 密 机 中 。 

DES 算法 具有 算法 容易 实现 、 速 度 快 ,通用 性 强 等 优点 ,但 也 存在 密 钥 位 数 少 ,保密 强 
度 较 差 和 密 钥 管理 复杂 的 缺点 。 

DES 算法 具体 在 POS( 销 售 终端 );、ATM( 自 动 取款 机 )、 磁 卡 及 智能 卡 (IC 卡 )、 加 油 站 、 
高 速 公路 收费 站 等 领域 被 广泛 应 用 ,以 此 来 实现 关键 数据 的 保密 。 如 信用 卡 持 卡 人 的 PIN 
的 加 密 传输 ,IC 卡 与 POS 间 的 双向 认证 ,金融 交易 数据 包 的 MAC 校 验 等 均 可 使 用 DES 
算法 。 

DES 算法 在 问世 后 的 30 多 年 里 ,已 成 为 密码 界 研究 的 重点 ,经 受 住 了 许多 科学 家 的 研 
究 和 破译 ,在 民用 密码 领域 得 到 了 广泛 的 应 用 。 它 曾 为 全 球 贸 易 .金融 等 非 官方 部 门 提供 了 
可 靠 的 通信 安全 保障 。DES 标准 生效 后 .规定 每 隔 5 年 由 美国 国家 安全 局 NSA (National 
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Security Agency) 进 行 一 次 评估 ,并 确定 它 是 否 可 以 继续 作为 联邦 加 密 标准 使 用 。DES 的 
缺点 是 密 钥 位 数 太 短 (56 位 ) ,而 且 算 法 是 对 称 的 ,使 得 这 些 密 钥 中 还 存在 一 些 弱 密 钥 和 半 
弱 密 钥 ,因此 容易 被 破译 者 采用 穷尽 密 钥 的 方法 解密 。 此 外 ,由 于 DES 算法 完全 公开 ,其 安 
全 性 完全 依赖 于 对 密 钥 的 保护 ,必须 有 可 靠 的 信道 来 分 发 密 钥 ,如 采用 信使 递送 密 钥 等 。 因 
此 ,其 密 钥 管理 过 程 非常 复杂 ,不 适合 在 网 络 环境 下 单独 使 用 ,可 以 与 非 对 称 密 钥 算法 混合 
使 用 。1998 年 5 月 ,美国 EFF(Electronic Frontier Foundation) 宣 布 ,他 们 以 一 台 价 值 20 万 
美元 的 计算 机 改装 成 的 专用 解密 机 ,用 56 小 时 破译 了 56 位 密 钥 的 DES。 美 国 国家 标准 和 
技术 协会 在 征集 并 进行 了 几 轮 评估 、 筛 选 后 ,产生 了 称 为 AES(Advanced Encryption 
Standard) 的 新 加 密 标准 。 尽 管 如 此 ,DES 对 推动 密码 理论 的 发 展 和 应 用 仍 起 了 重大 作用 ， 
同时 DES 中 的 基本 运算 思路 在 IDEA、TDEA 等 对 称 密 钥 密码 算法 中 也 得 到 了 广泛 应 用 ， 
因此 其 对 于 掌握 分 组 密码 的 基本 理论 .设计 思想 和 实际 应 用 仍然 具有 重要 的 参考 价值 。 

3. 其 他 对 称 加 密 算 法 简介 

1) TDEA 算法 

TDEA(CTriple Data Encryption Algorithm ,三 重 DES) 算 法 ,其 本 质 和 DES 算法 是 一 臻 
的 。 它 是 为 了 解决 DES 算法 密 钥 过 短 的 问题 而 出 现 的 。 在 TDEA 算法 中 ,使 用 三 个 密 钥 ， 
执行 三 次 DES 算法 ,该 算法 的 总 密 钥 长 度 为 168 位 (56 位 的 三 倍 ) 。 

如 果 将 TDEA 算法 中 的 密 钥 表示 为 KK 和 Ks, 则 它 的 加 密 过 程 为 

C=Ers (Dr (Er (M))) 

即使 用 密 钥 K! 进行 第 一 次 加 密 , 然 后 用 密 钥 K: 对 上 一 结果 进行 解密 ,再 用 密 钥 Ks 对 
上 一 结果 进行 第 二 次 DES 加 密 。 

TDEA 的 解密 的 过 程 为 





M= Dr (Erz (Dks (C))) 
即 与 加 密 操 作 相 反 , 先 用 Ks 解密 ,然后 用 K。 加密 ,最 后 用 Ki 解密 。 
当 Ki 二 Ks 二 Ks 时 , 则 TDEA 算法 就 是 DES 算法 ; 当 K, 一 Ks 时 ,TDEA 算法 相当 于 
两 重 DES, 其 密 钥 长 度 为 112 位 。 
2) AES 算法 
AES(Advanced Encryption Standard, 高 级 加 密 标 准 ) 是 由 美国 国家 标准 与 技术 研究 所 
(NIST) 于 1997 年 发 起 征集 的 数据 加 密 标准 , 旨 在 得 到 一 个 非 保 密 的 、 全 球 免费 使 用 的 分 组 
加 密 算 法 ,并 能 成 为 替代 DES 的 数据 加 密 标准 。NIST 于 2000 年 选择 了 比利时 两 位 科学 家 
提出 的 Rijndael 作为 AES 的 算法 。 
Rijndael 是 一 种 分 组 长 度 和 密 钥 长 度 都 可 变 的 分 组 密码 算法 ,其 分 组 长 度 和 密 钥 长 度 
都 分 别 可 为 128b、192b 和 256b。Rijndael 算法 具有 安全 、 高 效 和 灵活 等 优点 ,使 它 成 为 
AES 最 合适 的 选择 。 
。 安全 性 。Rijndael 算法 的 频数 具有 良好 的 随机 特性 ,其 密 文 比特 服从 0. 5 的 二 项 式 
分 布 ,因此 其 安全 性 大 大 增强 。 它 对 抗 线性 攻击 和 差分 攻击 的 能 力也 很 强 。 

。 高 效 性 。 由 于 Rijndael 算法 的 线性 和 非 线性 混合 层 都 采用 和 矩阵 运算 ,并 且 其 变化 的 
轮 数 (8 一 12 轮 ) 较 少 ,使 得 它 具 有 很 高 的 速度 。 

。 灵活 性 。Rijndael 满足 AES 的 要 求 , 密 钥 长 度 可 为 128b、192b 和 256b, 所 以 可 根据 
不 同 的 加 密级 别 选 择 不 同 的 密 钥 长 度 ; 其 分 组 长 度 也 是 可 变 的 ,这 恰好 弥补 了 DES 


的 不 足 ; 其 循环 次 数 允 许 在 一 定 范 围 内 根据 安全 要 求 进行 选取 。 这 些 都 体现 了 该 
算法 的 灵活 性 。 

3) IDEA 算法 

IDEA(International Data Encryption Algorithm ,国际 数据 加 密 算 法 ) 是 由 瑞士 的 著名 
学 者 提出 的 。IDEA 在 1990 年 被 正式 公布 并 在 以 后 得 到 增强 。 这 种 算法 是 在 DES 算法 的 
基础 上 发 展 起 来 的 ,类 似 于 三 重 DES。 

类 似 于 DES,IDEA 也 是 一 种 分 组 密码 算法 ,分 组 长 度 为 64 位 ,但 密 钥 长 度 为 128 位 。 
该 算法 是 用 128 位 密 钥 对 64 位 二 进 制 码 组 成 的 数据 组 进行 加 密 的 ,也 可 用 同样 的 密 钥 对 
64 位 密 文 进行 解密 变换 。 

IDEA 与 DES 的 明显 区 别 在 于 循环 函数 和 子 密 钥 的 生成 不 同 。 对 循环 函数 来 说 ， 
IDEA 不 使 用 S 盒 变换 ,而 是 依赖 于 三 种 不 同 的 数学 运算 : XOR、16 位 整数 的 二 进 制 加 法 、 
16 位 整数 的 二 进 制 乘法 。 这 些 函 数 结合 起 来 可 以 产生 复杂 的 转换 ,但 这 些 转 换 很 难 进行 密 
码 分 析 。 子 密 钥 生成 算法 完全 依赖 于 循环 移 位 的 应 用 ,但 使 用 方式 复杂 。 

IDEA 算法 设计 了 一 系列 加 密 轮 次 ,每 轮 加 密 都 使 用 从 完整 的 加 密 密 钥 中 生成 的 一 个 
子 密 钥 。 每 轮 次 中 也 使 用 压缩 函数 进行 变换 ,只 是 不 使 用 移 位 置换 。IDEA 中 使 用 异 或 、 模 
2 加 法 和 模 2* 十 1 乘法 运算 ,这 三 种 运算 彼此 混合 可 产生 很 好 的 效果 。 运 算 时 IDEA 把 数 
据 分 为 4 个 子 分 组 ,每 个 分 组 16 位 。 

与 DES 的 不 同 处 还 在 于 ,IDEA 采用 软件 实现 和 采用 硬件 实现 同样 快速 。IDEA 的 密 
钥 比 DES 的 多 一 倍 , 增 加 了 破译 难度 ,被 认为 是 长 期 有 效 的 算法 。 

由 于 IDEA 是 在 美国 之 外 提出 并 发 展 起 来 的 , 避 开 了 美国 法 律 上 对 加 密 技 术 的 诸多 限 
制 , 因 此 ,有 关 IDEA 算法 和 实现 技术 的 书籍 都 可 以 自由 出 版 和 交流 ,从 而 极 大 地 促进 了 
IDEA 的 发 展 和 完善 。 


5.2.2 公开 密 角 密码 体制 


对 称 密 钥 加 密 方法 是 加 密 、 解 密使 用 同样 的 密 钥 , 这 些 密 钥 由 发 送 者 和 接收 者 分 别 保 
存 , 在 加 密 和 解密 时 使 用 。 对 称 密 钥 方法 的 主要 问题 是 密 钥 的 生成 .管理 ,分 发 等 都 很 复杂 ， 
特别 是 随 着 用 户 的 增加 , 密 钥 的 需求 量 也 成 倍增 加 。 例 如 ,网 络 中 有 个 用 户 , 当 其 中 每 两 
个 用 户 之 间 都 需要 建立 保密 通信 时 ,系统 中 所 需 的 密 钥 总 数 将 达 n(n 一 1)/2 个 ,如 果 两 个 
用 户 之 间 可 能 有 多 次 通信 ,而 每 次 通信 的 密 钥 又 不 能 一 样 ,这 样 网 络 中 需要 的 密 钥 数 又 将 大 
量 增加 。 在 网 络 通信 中 ,大量 密 钥 的 分 配 和 保管 是 一 个 很 复杂 的 问题 。 而 公开 密 钥 密 码 算 
法 中 密 钥 的 使 用 量 却 很 少 ,因此 其 在 密 钥 管 理 上 要 方便 得 多 。 

1. 公开 密 钥 密码 体制 简介 

美国 科学 家 Diffie 和 Hellman 于 1976 年 提出 了 “公开 密 钥 密码 体制 ”的 概念 ,开创 了 密 
码 学 研究 的 新 方向 。 公 开 密 钥 密码 体制 的 产生 主要 有 两 个 方面 的 原因 : 一 是 由 于 对 称 密 钥 
密码 体制 的 密 钥 分 配 问 题 , 另 一 个 是 由 于 对 数字 签名 的 需求 。 

与 对 称 密 钥 加 密 方法 不 同 , 公 开 密 钥 密 码 系统 采用 两 个 不 同 的 密 钥 来 对 信息 进行 加 密 
和 解密 。 加 密 密 钥 与 解密 密 钥 不 同 , 由 其 中 一 个 不 容易 得 到 另 一 个 。 通 常 , 在 这 种 密码 系统 
中 ,加 密 密 钥 是 公开 的 ,解密 密 钥 是 保密 的 ,加 密 和 解密 算法 都 是 公开 的 。 每 个 用 户 都 有 一 
个 对 外 公开 的 加 密 密 钥 K.( 称 为 公 钥 ) 和 对 外 保密 的 解密 密 钥 Ka( 称 为 私 钥 ), 因 此 这 种 密 
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码 体制 又 称 非 对 称 密码 体制 。 

在 公开 密 钥 密 码 算法 中 ,可 用 私 钥 Ka 解密 由 公 钥 K。 加 密 后 的 密 文 , 即 M 二 Dia (Ex (M))， 
但 却 不 能 用 加 密 密 钥 去 解密 密 文 , 即 MDie (Ewa(M))。 

使 用 公开 密 钥 对 文件 进行 加 密 传输 的 实际 过 程 包括 如 下 四 个 步骤 。 

(1) 发 送 方 生成 一 个 加 密 数据 的 会 话 密 钥 ,并 用 接收 方 的 公开 密 钥 对 会 话 密 钥 进行 加 
密 , 然 后 通过 网 络 传输 到 接收 方 ; 

(2) 接收 方 用 自己 的 私 钥 进 行 解密 后 得 到 加 密 文件 的 会 话 密 钥 ; 

(3) 发 送 方 对 需要 传输 的 文件 用 自己 的 私 钥 进行 加 密 , 然 后 通过 网 络 把 加 密 后 的 文件 
传输 到 接收 方 ; 

(4) 接收 方 用 会 话 密 钥 对 文件 进行 解密 得 到 文件 的 明文 形式 。 

因为 只 有 接收 方才 拥有 自己 的 私 钥 ,所 以 即使 其 他 人 得 到 了 经 过 加 密 的 会 话 密 钥 , 也 因 
为 他 没有 接收 方 的 私 钥 而 无 法 进行 解密 ,就 得 不 到 会 话 密 钥 ,从 而 也 保证 了 传输 文件 的 安全 
性 。 实 际 上 ,在 上 述 文件 传输 的 过 程 中 实现 了 两 个 加 密 解 密 过 程 : 会 话 密 钥 的 加 密 和 人 解密 
与 文件 本 身 的 加 密 和 解密 ,这 分 别 通 过 对 称 密码 体制 的 会 话 密 钥 与 公开 密 钥 密码 体制 的 私 
钥 和 公 钥 来 实现 。 

自 公 开 密 钥 密 码 体制 问世 以 来 ,学 者 们 提出 了 许多 种 公 钥 加 密 方法 ,如 RSA、ECC \ 背 
包 、ElGamal、Rabin、DSA 和 散 列 函数 算法 (MD4、MD5) 等 ,它们 的 安全 性 都 是 基于 复杂 的 
数学 难题 。 根 据 所 基于 的 数学 难题 来 区 分 ,有 以 下 三 类 系统 算法 被 认为 是 安全 和 有 效 的 : 
大 整数 因子 分 解 系统 (代表 性 算法 是 RSA) ,椭圆 曲线 离散 对 数 系统 (代表 性 算法 是 ECC) 和 
离散 对 数 系统 (代表 性 算法 是 DSA)。 

最 著名 ,应 用 最 广泛 的 公 钥 系统 的 密码 算法 是 RSA 算法 , 它 的 安全 性 是 基于 大 整数 素 
因子 分 解 的 困难 性 ,而 大 整数 因子 分 解 问题 是 数学 上 的 著名 难题 ,至 今 没 有 有 效 的 方法 予以 
解决 ,因此 可 以 确保 RSA 算法 的 安全 性 。 

ECC(Elliptic Curve Cryptography, 椭 圆 曲 线 加 密 算法 ) 是 基于 离散 对 数 计算 的 困难 
性 。ECC 算法 与 RSA 算法 相 比 ,具有 安全 性 能 更 高 .运算 量 小 处理 速度 快 . 占 用 存储 空间 
小 .带宽 要 求 低 等 优点 。 因 此 ,ECC 系统 是 一 种 安全 性 更 高 .算法 实现 性 能 更 好 的 公 钥 系统 。 

DSA(Data Signature Algorithm ,数字 签名 算法 ) 是 基于 离散 对 数 问题 的 数字 签名 标 
准 , 它 仅 提供 数字 签名 功能 ,不 提供 数据 加 密 功 能 。 

2. RSA 算法 

1977 年 ,Rivest、Shamir 和 Adleman 三 位 科学 家 共同 提出 了 公开 密 钥 密 码 体制 ,其 实现 
算法 称 为 RSA( 以 三 位 科学 家 名 字 的 首 字母 组 合 命名 ) 算 法 。RSA 算法 不 仅 解决 了 对 称 密 
钥 密码 算法 中 密 钥 管理 的 复杂 性 问题 ,而且 也 便于 进行 数字 签名 。 

RSA 算法 是 典型 的 公开 密 钥 密码 算法 ,利用 公开 密 钥 密码 算法 进行 加 密 和 数字 签名 的 
大 多 数 场 合 都 使 用 RSA 算法 。 

1) RSA 算法 的 原理 

RSA 算法 是 建立 在 素数 理论 ( 欧 拉 函数 和 欧 几 里 得 定理 ) 基 础 上 的 算法 。 在 此 不 介绍 
RSA 的 理论 基础 (复杂 的 数学 分 析 和 理论 推导 ) ,只 简单 介绍 其 密 钥 的 选取 和 加 、 解 密 的 实 

(1) 随机 选取 大 素数 p 和 q( 一 般 为 大 于 100 位 的 十 进 制 数 ) ,予以 保密 ; 


(2) 计算 n 一 pXq, 作 为 公开 模 数 ; 

(3) 计算 欧 拉 函数 ,Cn) 一 (p 一 1)(q 一 1) (mod n); 

(4) 选择 一 个 随机 数 e, 满 足 1 二 e 二 $(n), 且 ee 和 $(n) 互 质 ,将 e 作 为 公 钥 ; 

(5) 利用 exXxd=1Cmod $(n)) 式 计算 出 d 值 ,并 将 其 作为 私 钥 ; 

(6) 发 送 方 用 自己 的 公 钥 e 和 公开 数 n, 按 C 王 M*(mod n) 式 计算 得 到 密 文 C, 再 将 C 
发 给 接收 方 ; 

(7) 接收 方 收 到 C 后 ,再 利用 自己 的 私 钥 d 按 M 一 C"(mod n) 式 进行 解密 运算 ,得 到 明 
文 M。 

2) RSA 算法 的 安全 性 

RSA 算法 具有 密 钥 管理 简单 (每 个 用 户 仅 保密 一 个 密 钥 , 且 不 需 密 钥 配送 )、 便 于 数字 
签名 \ 可 靠 性 较 高 (取决 于 分 解 大 素数 的 难 易 程 度 ) 等 优点 ,但 也 具有 算法 复杂 、 加 密 /解密 速 
度 慢 .难于 用 硬件 实现 等 缺点 。 因 此 , 公 钥 密码 体制 通常 被 用 来 加 密 关 键 性 的 、 核 心 的 .少量 
的 机 密 信息 ,而 对 于 大 量 要 加 密 的 数据 通常 采用 对 称 密 码 体制 。 

RSA 算法 的 安全 性 建立 在 难于 对 大 数 进行 质 因数 分 解 的 基础 上 ,因此 大 数 n 是 否 能 够 
被 分 解 是 RSA 算法 安全 的 关键 。 随 着 计算 机 计算 速度 的 提高 ,对 于 大 数 n 的 位 数 要 求 越 来 
越 大 。RSA 实验 室 认 为 ,512 位 的 n 已 不 够 安全 ,应 停止 使 用 ,现在 的 个 人 需要 用 668 位 的 
n, 公 司 要 用 1024 位 的 n, 极 其 重要 的 场合 应 该 用 2048 位 的 n。 另 一 方面 ,由 于 用 RSA 算法 
进行 的 都 是 大 数 运算 ,使 得 RSA 算法 无 论 是 用 软件 实现 还 是 硬件 实现 ,其 速度 都 要 比 DES 
算法 慢 得 多 。 因 此 ,RSA 算法 一 般 只 用 于 加 密 少量 数据 。 


5.3 数字 签名 与 认证 


数字 签名 (Digital Signature) 是 一 种 类 似 写 在 纸 上 的 普通 物理 签名 ,但 它 是 利用 密码 技 
术 实 现 的 一 种 电子 签名 。 认 证 是 指 由 认证 机 构 ( 权 威 的 第 三 方 ) 证 明 产品 、 服 务 .管理 体系 符 
合 相关 技术 规范 的 要 求 或 标准 的 合格 评定 活动 。 


5.3.1 数字 签名 概述 


1. 数字 签名 

数字 签名 是 附加 在 数据 单元 上 的 一 些 特殊 数据 ,或 是 对 数据 单元 所 进行 的 密码 变换 。 
这 种 数据 或 变换 允许 数据 单元 的 接收 者 用 以 确认 数据 单元 的 来 源 和 数据 单元 的 完整 性 , 防 
止 被 人 伪造 。 数 字 签 名 是 使 用 密码 技术 实现 的 。 数 字 签名 能 保证 信息 传输 的 完整 性 和 发 送 
者 身份 的 真实 性 ,防止 交易 中 的 抵赖 行为 。 

数字 签名 可 解决 手写 签名 中 签字 人 否认 签字 或 其 他 人 伪造 签字 等 问题 ,因此 被 广泛 用 
于 银行 的 信用 卡 系统 .电子 商务 系统 .电子 邮件 以 及 其 他 需要 验证 、 核 对 信息 真 伪 的 系统 中 。 
利用 数字 签名 信息 可 辨别 数据 签名 人 的 身份 ,并 表明 签名 人 对 数据 信息 中 包含 信息 的 认可 。 

手工 签名 是 模拟 的 , 因 人 而 异 ; 而 数字 签名 是 数字 式 的 (0、1 数字 串 ) , 因 信 息 而 异 。 

数字 签名 具有 以 下 功能 。 

。 收 方 能 够 确认 发 方 的 签名 ,但 不 能 伪造 。 

。 发 方 发 出 签 过 名 的 信息 后 ,不 能 再 和 否认。 
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。 收 方 对 收 到 的 签名 信息 也 不 能 否认 。 

， 一 旦 收发 双方 出 现 争 执 ,仲裁 者 可 有 充足 的 证 据 进 行 裁决 。 

2. 公 钥 密码 技术 用 于 数字 签名 

密码 技术 除了 提供 加 密 / 解 密 功能 外 ,还 提供 对 信息 来 源 的 鉴别 .信息 的 完整 性 和 不 可 
否认 性 的 保证 功能 ,而 这 三 种 功能 都 可 通过 数字 签名 实现 。 在 电子 商务 系统 中 ,其 安全 服务 
都 要 用 到 数字 签名 技术 。 在 电子 商务 中 ,完善 的 数字 签名 应 具备 签字 方 不 能 抵赖 、 他 人 不 能 
伪造 .在 公证 人 面前 能 够 验证 真 伪 的 能 力 。 

目前 数字 签名 主要 是 采用 基于 公 钥 密码 体制 的 算法 ,这 是 公开 密 钥 密码 技术 的 另 一 种 
重要 应 用 。 普 通 数字 签名 算法 有 RSA、ElGamal、DSA、ECC 和 有 限 自动 机 数字 签名 算法 
等 ,特殊 数字 签名 有 盲 签 名、 代理 签名 ,不 可 否认 签名 、 门 限 签名 和 具有 消息 恢复 功能 的 签名 
等 ,它们 与 具体 应 用 环境 密切 相关 。 

一 个 由 公 钥 体制 实现 的 数字 签名 示意 图 如 图 5. 3. 1 所 示 。 但 该 结构 只 能 实现 签名 和 验 
证 ,而 没有 加 密 和 解密 功能 。 一 个 典型 的 由 公 钥 密码 体制 实现 的 、 带 有 加 /解密 功能 的 数字 
签名 和 验证 示意 图 如 图 5. 3. 2 所 示 。 
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图 5.3.1 公 钥 体制 实现 的 数字 签名 示意 图 
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图 5.3.2 带 有 加 /解密 功能 的 数字 签名 和 验证 示意 图 


数字 签名 保证 信息 完整 性 的 原理 是 : 将 要 传送 的 明文 通过 一 种 单 向 散 列 函数 运算 转换 
成 信息 摘要 (不 同 的 明文 对 应 不 同 的 摘要 ) ,信息 摘要 加 密 后 与 明文 一 起 传送 给 接收 方 ,接收 
方 对 接收 的 明文 进行 计算 产生 新 的 信息 摘要 ,再 将 其 与 发 送 方 发 来 的 信息 摘要 相 比 较 。 若 
比较 结果 一 致 , 则 表示 明文 未 被 改动 ,信息 是 完整 的 ; 否则 ,表示 明文 被 算 改 ,信息 的 完整 性 
受到 破坏 。 

概括 起 来 ,数字 签名 的 主要 过 程 如 下 。 

。 发 送 方 利用 单 向 散 列 函数 从 报 文 文本 中 生成 一 个 128 位 的 散 列 值 (信息 摘要 ); 

。 发送 方 用 自己 的 私 钥 对 这 个 散 列 值 进行 加 密 来 形成 发 送 方 的 数字 签名 ; 

。 该 数字 签名 将 作为 报 文 的 附件 和 报 文 一 起 被 发 送 给 接收 方 ; 

。 接收 方 从 收 到 的 原始 报 文中 计算 出 128 位 的 散 列 值 ( 信 息 摘 要 )， 

。 接收 方 用 发 送 方 的 公开 密 钥 对 报 文 附加 的 数字 签名 进行 解密 得 到 原 散 列 值 。 如 果 

这 两 个 散 列 值 相同 , 则 接收 方 就 能 确认 该 数字 签名 是 发 送 方 的 。 

3. 数字 签名 算法 

目前 ,广泛 应 用 的 数字 签名 算法 主要 有 RSA 签名 .DSS( 数 字 签名 系统 ) 签 名 和 Hash 
签名 。 这 三 种 算法 可 单独 使 用 ,也 可 混合 在 一 起 使 用 。 数 字 签 名 是 通过 密码 算法 对 数据 进 














行 加 解密 变换 来 实现 的 。 用 对 称 密 钥 密码 算法 也 可 实现 数字 签名 。 

用 RSA 或 其 他 公 钥 密码 算法 的 最 大 好 处 是 没有 密 钥 分 配 问题 (网 络 越 复杂 、 网 络 用 户 
越 多 ,其 优点 越 明显 )。 因 为 公 钥 加 密使 用 两 个 不 同 的 密 钥 ,其 中 一 个 是 公开 的 ( 公 钥 ), 另 一 
个 是 保密 的 ( 私 钥 ) 。 公 钥 可 以 保存 在 系统 目录 内 、 未 加 密 的 电子 邮件 中 .电话 号 码 短 或 公告 
牌 中 ,网 上 的 任何 用 户 都 可 获得 该 公 钥 。 而 私 钥 是 用 户 专用 的 ,由 用 户 本 身 持 有 , 它 可 以 对 
由 公 钥 加 密 的 信息 进行 解密 。 实 际 上 RSA 算法 中 数字 签名 是 通过 一 个 Hash 函数 实现 的 。 

DSS 是 由 美国 国家 标准 化 研究 院 和 国家 安全 局 共同 开发 的 。 由 于 它 是 由 美国 政府 颁 
布 实施 的 ,美国 政府 出 于 保护 国家 利益 的 目的 不 提倡 使 用 任何 削弱 政府 窃听 能 力 的 加 密 软 
件 , 因 此 ,DSS 主要 用 于 与 美国 政府 做 生意 的 公司 ,其 他 公司 则 较 少 使 用 。 

Hash 签名 是 最 主要 的 数字 签名 方法 ,也 称 之 为 数字 摘要 法 。 著 名 的 数字 摘要 加 密 方 
法 MD5 由 Ron Rivest 设计 ,该 编码 算法 采用 单 向 Hash 函数 将 需 加 密 的 明文 “摘要 ?成 一 串 
128 位 的 密 文 。 这 样 ,该 “摘要 ?就 可 成 为 验证 明文 是 否 真实 的 依据 。 

4. PKI 

PKI(Public Key Infrastructure, 公 钥 基 础 设施 ) 是 一 个 用 公开 密 钥 密码 的 概念 与 技术 
来 实施 和 提供 安全 服务 的 普遍 适用 的 安全 基础 设施 。 它 遵循 标准 的 公 钥 加 密 技 术 ,为 电子 
商务 .电子 政务 .网 上 银行 和 网 上 证 券 等 行业 ,提供 一 整套 安全 保证 的 基础 平台 。 用 户 利 用 
PKI 基础 平台 所 提供 的 安全 服务 ,可 在 网 上 实现 安全 通信 。PKI 这 种 遵循 标准 的 密 钥 管理 
平台 ,能 够 为 所 有 的 网 上 应 用 提供 加 密 和 数字 签名 等 安全 服务 所 需要 的 密 钥 和 证 书 管理 。 
PKI 技术 是 信息 安全 技术 的 核心 ,也 是 电子 商务 的 关键 和 基础 技术 。PKI 的 基础 技术 包括 
加 密 、 数 字 签 名、 数据 完整 性 机 制 , 数 字 信 封 .双重 数字 签名 等 。 

完整 的 PKI 系统 必须 具有 权威 认证 机 构 .数字 证 书库 、 密 钥 备 份 及 恢复 系统 .证 书 作废 
系统 .应 用 接口 (API) 等 基本 构成 部 分 ,构建 PKI 也 将 围绕 着 这 五 大 系统 来 着 手 构建 。 


5.3.2 CA 认证 与 数字 证 书 


1. CA 认证 

CA(Certificate Authority, 认 证 机 构 ) 是 PKI 的 主要 组 成 部 分 和 核心 执行 机 构 ,一 般 简 
称 为 CA, 业界 通常 称 为 认证 中 心 。CA 是 一 种 具有 权威 性 、 可 信任 性 和 公正 性 的 第 三 方 机 
构 。 在 网 上 的 电子 交易 中 ,商户 需要 确认 持 卡 人 是 否 是 信用 卡 或 借 记 卡 的 合法 持 有 者 ,同时 
持 卡 人 也 要 能 够 鉴别 商户 是 否 为 合法 商户 ,是否 被 授权 接受 某 种 品牌 的 信用 卡 或 借 记 卡 支 
付 。 为 处 理 这 些 问题 ,必须 有 一 个 大 家 都 信赖 的 机 构 来 发 放 一 种 数字 证 书 。 数 字 证 书 就 是 
参与 网 上 交易 (交换 ) 活 动 的 各 方 (如 持 卡 人 、 商 家 、 支 付 网 关 ) 身 份 的 证 明 。 每 次 交易 时 ,都 
要 通过 数字 证 书 对 各 方 的 身份 进行 验证 。CA 认证 是 一 种 安全 控制 技术 , 它 可 以 提供 网 上 
交易 所 需 的 信任 。CA 认证 的 出 现 和 数字 证 书 的 使 用 ,使 得 开放 的 网 络 更 加 安全 。CA 认证 
中 心 作为 权威 的 .可 信赖 的 ,公正 的 第 三 方 .是 发 放 , 管 理 、 废 除数 字 证 书 的 机 构 。 其 作用 是 
检查 证 书 持 有 者 身份 的 合法 性 ,并 签发 证 书 ,以 防 证 书 被 伪造 或 算 改 ,以 及 对 证 书 和 密 钥 进 
行 管理 ,承担 公 钥 体系 中 公 钥 合法 性 检验 的 责任 。 

CA 的 组 成 主要 有 证 书签 发 服务 器 、 密 钥 管 理 中 心 和 目录 服务 器 。 证 书签 发 服务 器 负 
责 证 书 的 签发 和 管理 ,包括 证 书 归 档 、 撤 销 与 更 新 等 ; 密 钥 管理 中 心 用 硬件 加 密 机 产生 
公 / 私 密 钥 对 ,CA 私 钥 提 供 CA 证 书 的 签发 ; 目录 服务 器 负责 证 书 和 证 书 撤销 列表 的 发 布 
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和 查询 。 

2. 数字 证 书 

CA 认证 中 心 所 发 放 的 数字 证 书 就 是 网 络 中 标志 通信 各 方 身份 信息 的 电子 文件 , 它 提 
供 了 一 种 在 网 络 上 验证 用 户 身份 的 方式 。 人 们 可 以 在 交往 (交易 ) 中 使 用 数字 证 书 来 识别 对 
方 的 身份 。 因 此 ,数字 证 书 相 当 于 日 常生 活 中 司机 的 驾驶 执照 或 居民 的 个 人 身份 证 ,而 CA 
相当 于 网 上 公安 局 ,专门 发 放 、 管 理 和 验证 这 些 执照 或 身份 证 。 

数字 证 书简 称 证 书 , 是 PKI 的 核心 元 素 , 是 数字 签名 的 技术 基础 。 数 字 证 书 可 证 明 某 
一 实体 的 身份 及 其 公 钥 的 合法 性 ,以 及 该 实体 与 公 钥 二 者 之 间 的 匹配 关系 。 证 书 是 公 钥 的 
载体 ,证 书 上 的 公 钥 唯一 与 实体 身份 相 匹 配 。 现 行 的 PKI 机 制 一 般 为 双 证 书 机 制 , 即 一 个 
实体 应 具有 两 个 证 书 ,一 个 是 加 密 证 书 , 一 个 是 签名 证 书 。 加 密 证 书 原则 上 不 能 用 于 签名 。 

证 书 在 公 钥 体制 中 是 密 钥 管 理 的 媒介 ,不 同 的 实体 可 通过 证 书 来 互相 传递 公 钥 。CA 
颁发 的 证 书 与 对 应 的 私 钥 存放 在 一 个 保密 文件 里 ,最 好 的 办 法 是 存放 在 IC 卡 或 USBKey 
中 ,可 以 保证 私 钥 不 出 卡 、 证 书 不 被 复制 ,安全 性 高 携带 方便 、 便 于 管理 。 

数字 证 书 主要 用 于 身份 认证 、 签 名 验证 和 有 效 期 的 检查 。CA 签发 证 书 时 ,要 对 证 书 的 
格式 版 本 、 序 列 号 有效期 \ 持 有 者 名 称 、 公 钥 和 CA 签名 算法 标识 等 进行 签名 ,以 示 对 所 签 
发 证 书 内 容 的 完整 性 .准确 性 负责 ,并 证 明 该 证 书 的 合法 性 和 有 效 性 。 

数字 证 书 通常 有 个 人 证 书 、 企 业 证 书 和 服务 器 证 书 等 类 型 。 个 人 证 书 有 个 人 安全 电子 
邮件 证 书 和 个 人 身份 证 书 ,前 者 用 于 安全 电子 邮件 或 向 需要 客户 验证 的 Web 服务 器 表明 身 
份 ; 后 者 包含 个 人 身份 信息 和 个 人 公 钥 ,用 于 网 上 银行 、 网 上 证 券 交易 等 各 类 网 上 作业 。 企 
业 证 书 中 包含 企业 信息 和 企业 公 钥 ,可 标识 证 书 持 有 企业 的 身份 ,证 书 和 对 应 的 私 钥 存 储 于 
磁盘 或 IC 卡 中 ,可 用 于 网 上 证 券 交 易 等 各 类 网 上 作业 。 服 务 器 证 书 有 Web 服务 器 证 书 和 
服务 器 身份 证 书 ,前 者 用 于 IIS 等 多 种 Web 服务 器 ; 后 者 包含 服务 器 信息 和 公 钥 ,可 标识 证 
书 持 有 服务 器 的 身份 ,证 书 和 对 应 的 私 钥 存储 于 磁盘 或 IC 卡 中 ,用 于 表征 该 服务 器 身份 。 

以 数字 证 书 为 核心 的 加 密 技术 可 以 对 网 络 上 传输 的 信息 进行 加 密 解 密 、 数 字 签名 和 验 
证 ,确保 网 上 传递 信息 的 保密 性 、 完 整 性 ,以 及 交易 实体 身份 的 真实 性 ,签名 信息 的 不 可 否认 
性 ,从 而 保障 网 络 应 用 的 安全 性 。 


5.3.3 数字 证 书 的 应 用 


数字 证 书 可 应 用 于 网 上 的 各 种 电子 事务 处 理 和 电子 商务 活动 ,如 用 于 发 送 安全 电子 邮 
件 、 访 问安 全 站 点 、 网 上 证 券 、 网 上 银行 .网 上 招 投标 、 网 上 签约 、 网 上 办 公 、 网 上 缴费 、 网 上 纳 
税 等 网 上 应 用 。 其 应 用 范围 涉及 需要 身份 认证 及 数据 安全 的 各 个 行业 ,包括 传统 的 商业 、 制 
造 业 、 流 通 业 的 网 上 交易 ,以 及 公共 事业 、 金 融 服 务 业 、 工 商 \ 税 务 、 海 关 、 教 育 科研 、 保 险 、 医 
疗 等 网 上 作业 系统 。 

1. 网 上 银行 

银行 数字 证 书 主要 用 于 网 上 交易 及 网 上 银行 结算 ,其 主要 功能 是 鉴别 交易 方 身份 .保证 
信息 的 完整 性 和 信息 内 容 的 保密 性 。 交 易 方 身份 验证 就 是 要 能 准确 鉴别 信息 的 来 源 ,鉴别 
彼此 通信 的 对 等 实体 的 身份 , 即 银行 网 站 验证 证 书 持 有 者 的 身份 ,而 客户 也 可 以 通过 网 站 证 
书 验证 网 站 的 合法 性 。 只 要 用 户 申请 并 使 用 了 银行 提供 的 数字 证 书 , 即 可 保证 网 上 银行 业 
务 的 安全 。 这 样 , 即 使 黑客 窃取 了 用 户 的 账户 密码 ,因为 他 没有 用 户 的 数字 证 书 , 也 无 法 进 





入 用户 的 网 上 银行 账户 。 经 过 数字 签名 的 网 银 交 易 数据 是 不 可 修改 的 , 且 具 有 唯一 性 和 不 
可 否认 性 ,从 而 可 以 防止 他 人 冒 用 证 书 持 有 者 的 名 义 进行 网 上 交易 ,维护 用 户 及 银行 的 合法 
权益 ,减少 和 避免 经 济 及 法 律 纠纷 。 

银行 数字 证 书 的 申请 流程 通常 是 : 用 户 持 本 人 有 效 身 份 证 件 及 账户 到 银行 营业 网 点 办 
理 证 书 申 请 手续 ,办 理 手续 时 填写 有 关 电 子 银行 业务 个 人 客户 注册 申请 表 , 选 择 开通 网 上 银 
行 服务 ,并 签署 相关 的 电子 银行 服务 协议 ; 银行 营业 网 点 将 当场 录入 客户 信息 ,用 户 自行 设 
定 注册 密码 ,选择 使 用 动态 口令 卡 或 支付 宝 ,完成 注册 ; 用 户 在 有 效 期 内 登录 到 银行 网 站 ， 
安装 根 证 书 和 申请 用 户 数字 证 书 ( 下 载 证 书 ) ,下载 数字 证 书 时 提示 设置 私 钥 密 码 ,要 记 住 该 
密码 ,因为 证 书 导出 .导入 时 要 用 到 它 ; 下 载 完 毕 后 要 马上 导出 证 书 把 它 保存 好 ,以 便 在 别 
的 机 器 上 使 用 。 数 字 证 书 下 载 完 成 后 ,就 可 通过 银行 网 站 登录 网 上 银行 ,并 在 网 上 办 理 银 行 
的 存 贷款 管理 .转账 汇款 .电子 支付 .民生 缴费 .理财 等 各 种 业务 。 各 银行 网 站 均 有 数字 证 书 
的 申请 过 程 和 使 用 说 明 ,读者 可 自行 参考 。 

2. 网 上 办 公 

网 上 办 公 系 统 综合 国内 政府 、 企 事业 单位 的 办 公 特 点 ,提供 一 个 虚拟 的 办 公 环 境 , 并 在 
该 系统 中 嵌入 数字 认证 技术 ,开展 网 上 政文 的 上 传 下 达 。 通 过 网 络 联通 各 个 岗位 的 工作 人 
员 ,通过 数字 证 书 进行 数字 加 密 和 数字 签名 ,实行 跨 部 门 运作 ,实现 安全 便捷 的 网 上 办 公 。 

3. 网 上 报税 

为 了 配合 税务 机 关 和 企业 信息 化 工作 ,加 强 网 上 报税 系统 的 安全 性 ,CA 中 心 可 向 税务 
机 关 和 纳税 人 提供 权威 的 数字 认证 服务 。 利 用 基于 数字 证 书 的 用 户 身份 认证 技术 对 网 上 报 
税 系统 中 的 申报 数据 进行 数字 签名 ,确保 申报 数据 的 完整 性 ,确认 系统 用 户 的 真实 身份 和 申 
报 数据 的 真实 来 源 ,防止 出 现 抵赖 行为 和 他 人 伪造 自 改 数据 ; 利用 基于 数字 证 书 的 安全 通 
信 技 术 ,对 网 络 上 传输 的 机 密 信 息 进行 加 密 ,防止 纳税 人 商业 机 密 或 其 他 敏感 信息 的 泄露 。 

4. 网 上 交易 

利用 数字 证 书 的 认证 技术 ,在 网 上 对 交易 双方 进行 身份 确认 以 及 资质 的 审核 ,确保 交易 
者 信息 的 唯一 性 和 不 可 抵赖 性 ,保护 交易 各 方 的 利益 ,实现 安全 交易 。 

5. 网 上 招 投标 

以 往 的 招 投标 受 时 间 、 地 域 . 人 文 等 影响 ,存在 着 许多 刺 病 ,例如 外 地 投标 者 参 投 不 便 、 
招 投标 各 方 的 资质 信息 不 明 , 以 及 招标 单位 和 投标 单位 之 间 存 在 秘密 关系 等 。 利 用 数字 证 
书 技术 可 实行 网 上 的 公开 招 投标 , 招 投标 企业 只 有 在 通过 身份 和 资质 认证 后 , 才 可 在 网 上 展 
开 招 投标 活动 ,从 而 确保 了 招 投标 企业 的 安全 性 和 合法 性 。 双 方 企业 通过 安全 网 络 通道 了 
解 和 确认 对 方 的 信息 ,选择 符合 自己 条 件 的 合作 伙伴 ,确保 网 上 的 招 投标 在 一 种 安全 、 透 明 、 
信任 、 合 法 、 高 效 的 环境 下 进行 。 


5.4 网 络 保密 通信 


网 络 保密 通信 就 是 在 计算 机 网 络 中 保证 信息 存储 和 传输 过 程 安全 的 通信 。 为 使 网 络 系 
统 资源 被 充分 利用 ,就 要 保证 网 络 系统 的 通信 安全 。 要 保证 网 络 系统 通信 安全 ,就 要 充分 认 
识 到 网 络 通信 系统 和 通信 协议 的 弱点 ,采取 相应 的 安全 策略 , 尽 可 能 地 减少 系统 面临 的 各 种 
风险 ,保证 网 络 系统 具有 高 度 的 可 靠 性 、 信 息 的 完整 性 和 保密 性 。 
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5.4.1 保密 通信 

网 络 通 信和 系统 可 能 会 面临 各 种 各 样 的 威胁 ,如 自然 灾害 、 恶 劣 的 系统 环境 、 人 为 破坏 和 
误 操作 等 。 所 以 ,要 保护 网 络 通信 安全 ,不 仅 要 克服 各 种 自然 和 环境 的 影响 ,更 重要 的 是 要 
防止 人 为 因素 造成 的 威胁 。 

1. TCP/IP 协议 的 脆弱 性 

基于 TCP/IP 协议 的 服务 有 很 多 ,如 Web 服务 .SMTP 服务 .TFTP 服务 、FTP 服务 、 
Finger 服务 等 ,这 些 服务 都 在 不 同 程度 上 存在 安全 缺陷 ,主要 缺陷 如 下 。 

(1) Web 服务 漏洞 。Web 服务 器 没有 对 用 户 提 交 的 超 长 请 求 进行 适当 的 处 理 , 就 会 导 
致 缓冲 区 溢出 。 这 种 漏洞 可 能 导致 执行 任意 命令 或 者 拒绝 服务 ,一 般 取决 于 构造 的 数据 。 

(2) SMTP 服务 漏洞 。 电 子 邮 件 附着 的 文件 中 可 能 带 有 病毒 ,邮箱 经 常 被 塞 满 ,电子 邮 
件 炸 弹 令 人 烦恼 ,还 有 邮件 溢出 等 。 

(3) TFTP 服务 漏洞 。TFTP 用 于 LAN , 它 没有 任何 安全 认证 , 且 安 全 性 极 差 , 常 被 人 
用 来 窃取 密码 文件 。 

(4) FTP 服务 漏洞 。 有 些 匿 名 FTP 站 点 为 用 户 提 供 一 些 可 写 的 区 域 ,用 户 可 上 传 一 些 
信息 到 站 点 上 ,这 就 会 浪费 用 户 的 磁盘 空间 、 网 络 带宽 等 资源 ,还 可 能 造成 “拒绝 服务 "攻击 。 

(5) Finger 服务 漏洞 。Finger 服务 可 查询 用 户 信 息 , 包 括 网 上 成 员 的 姓名 、 用 户 名 ,以 
及 最 近 的 登录 时 间 、 登 录 地 点 和 当前 登录 的 所 有 用 户 名 等 ,这 也 为 人 侵 者 提供 了 必要 的 信息 
和 便利 。 

2. 线路 安全 

通过 在 通信 线路 上 搭 线 可 以 截获 (窃听 ) 传 输 信息 ,还 可 以 使 用 相应 设施 接收 线路 上 辐 
射 的 信息 ,这 些 就 是 通信 中 的 线路 安全 问题 。 可 以 采取 相应 的 措施 来 保护 通信 线路 的 安全 。 
一 种 简单 但 很 昂贵 的 电缆 加 压 技术 可 保护 通信 电 绕 的 安全 ,该 技术 是 将 通信 电缆 密封 在 塑 
料 套 中 深 埋 于 地 下 ,并 在 线路 的 两 端 加 压 。 线 路 上 连接 了 带 有 报警 器 的 显示 器 用 来 测量 压 
力 。 如 果 压 力 下 降 , 则 意味 着 电缆 被 破坏 ,维修 人 员 将 去 维修 出 现 问题 的 电缆 ; 另 一 种 电线 
加 压 技术 不 是 将 电缆 埋 于 地 下 ,而 是 架空 ,每 十 电缆 都 暴露 在 外 。 如 果 有 人 要 割 电缆 ,监视 
器 就 会 启动 报警 器 ,通知 安全 保卫 人 员 。 如 果 有 人 在 电缆 上 接 了 自己 的 通信 设备 ,安全 人 员 
在 检查 电缆 时 ,就 会 发 现 电缆 的 拼接 处 。 加 压 电缆 是 屏蔽 在 波纹 铝 钢 包 皮 中 的 ,因此 几乎 没 
有 电磁 辐射 ,如 果 用 电磁 感应 窃 密 ,就 会 很 容易 被 发 现 。 

3. 通信 加 密 

网 络 中 的 数据 加 密 可 分 为 两 个 途径 ,一 种 是 通过 硬件 实现 数据 加 密 ,一 种 是 通过 软件 实 
现 数据 加 密 。 硬 件数 据 加 密 有 链 路 加 密 和 端 到 端 加 密 方式 ; 软件 数据 加 密 就 是 指使 用 前 述 
的 加 密 算 法 进行 的 加 密 。 

计算 机 网 络 中 的 加 密 可 以 在 不 同 层次 上 进行 ,最 常用 的 是 在 应 用 层 、 链 路 层 和 网 络 层 。 
应 用 层 加 密 需 要 所 使 用 的 应 用 程序 支持 ,包括 客户 机 和 服务 器 的 支持 。 这 是 一 种 高 级 的 加 
密 ,在 某 些 具体 应 用 中 非常 有 效 , 但 它 不 能 保护 网 络 链 路 。 链 路 层 加 密使 用 于 单一 网 络 链 
路 ,仅仅 在 某 条 链 路 上 保护 数据 ,而 当 数 据 通过 其 他 未 被 保护 的 链 路 时 则 不 被 保护 。 这 是 一 
种 低级 的 保护 ,不 能 被 广泛 应 用 。 网 络 层 加 密 介 于 应 用 层 加 密 和 链 路 层 加 密 之 间 ,加 密 在 发 
送 端 进行 ,通过 不 可 信 的 中 间 网 络 ,到 接收 端 进行 解密 。 


1) 硬件 加 密 

所 有 加 密 产 品 都 有 特定 的 硬件 形式 。 这 些 加 密 硬 件 被 蔡 入 到 通信 线路 中 ,然后 对 所 有 
通过 的 数据 进行 加 密 。 虽 然 软件 加 密 正 变 得 很 流行 ,但 硬件 加 密 仍 是 商业 和 军事 等 领域 应 
用 的 主要 选择 。 选 用 硬件 加 密 的 原因 有 以 下 几 点 。 

(1) 快速 。 加 密 算法 中 含有 许多 的 复杂 运算 ,如 果 用 软件 实现 这 些 复杂 运算 , 则 运算 速 
度 将 会 受到 很 大 影响 ,而 特殊 的 硬件 却 具 有 速度 优势 。 另外, 加密 常常 是 高 强度 的 计算 任 
务 ,加密 硬件 芯片 将 能 较 好 地 完成 这 些 任 务 并 具有 较 快 的 速度 。 

(2) 安全 。 非 法 用 户 可 使 用 各 种 跟踪 工具 对 运行 在 未 加 保护 的 计算 机 上 的 加 密 算法 进 
行 跟踪 或 修改 而 不 被 发 现 。 使 用 硬件 加 密 设备 可 将 加 密 算法 封装 保护 ,以 防 被 修改 。 特 殊 
目的 的 VLSI 芯片 可 以 覆盖 一 层 化 学 物质 ,使 得 任何 企图 对 其 内 部 进行 的 访问 都 将 导致 世 
片 逻 辑 的 破坏 。 

(3) 易于 安装 。 大 多 数 加 密 功 能 与 计算 机 无 关 , 将 专用 加 密 硬件 放 在 电话 、 传 真 机 或 
MODEM 中 比 设置 在 微 处 理 器 中 更 方便 。 安装 一 个 加 密 设备 比 修改 配置 计算 机 系统 软件 
更 容易 。 而 软件 要 做 到 这 些 ,唯一 的 办 法 就 是 将 加 密 程序 写 在 操作 系统 中 。 

2) 软件 加 密 

任何 加 密 算法 都 可 用 软件 实现 。 软 件 实现 的 优点 是 具有 灵活 性 和 可 移植 性 , 易 使 用 , 易 
升级 ; 而 缺点 是 速度 慢 、 开 销 大 和 易于 被 改动 。 

软件 加 密 程序 很 大 众 化 ,并 可 用 于 大 多 数 操作 系统 中 。 这 些 加 密 程 序 可 用 于 保护 个 人 
文件 ,用 户 通 常用 手工 方式 加 密 文件 。 软 件 加 密 的 密 钥 管理 很 重要 , 密 钥 不 应 该 存储 在 磁盘 
中 , 密 钥 和 未 加 密 的 文件 在 加 密 后 应 立即 删除 。 


5.4.2 网 络 加密 方 式 


通过 硬件 实现 网 络 数据 加 密 主 要 有 链 路 加 密 和 端 到 端 加 密 两 种 方式 。 

1， 链 路 加 密 

链 路 加 密 (Link Encryption) 是 为 保护 两 相 邻 结 点 之 间 链 路 上 传输 的 数据 而 设立 的 , 传 
输 数 据 仅 在 数据 链 路 层 上 进行 加 密 。 只 要 把 两 个 密码 设备 安装 在 两 个 结 点 间 的 线路 上 ,并 
装 有 同样 的 密 钥 即 可 实现 链 路 加 密 。 被 加 密 的 链 路 可 以 是 微波 、 卫 星 和 有 线 介 质 。 

链 路 加 密使 在 链 路 上 传输 的 信息 (包括 信息 正文 、 路 由 及 检验 码 等 控制 信息 ) 都 是 密 文 。 
而 链 路 间 结 点 上 必须 是 明文 ,因为 在 各 结 点 上 都 要 进行 路 径 选 择 ,路 由 信息 必须 是 明文 , 否 
则 就 无 法 进行 路 径 选择 了 。 这 样 , 密 文 信息 在 中 间 结 点 上 要 先 被 解密 ,以 获得 路 由 信息 和 检 
验 码 ,进行 路 由 选择 和 差错 检测 ,然后 再 被 加 密 , 送 至 下 一 链 路 。 如 图 5. 4. 1 所 示 ,E、D 分 
别 表示 加 密 和 解密 操作 ,C 为 密 文 ,P 为 明文 ,L 为 链 路 。 
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图 5.4.1 链 路 加 密 示 意图 


绕 据 加 竹 靶 术 与 应 用 


击 吕 恰 


计算 机 网 络 安 会 (第 3 版 ) 





使 用 链 路 加 密 装置 能 为 某 数 据 链 路 上 的 所 有 报 文 提供 保密 传输 服务 。 数 据 在 到 达 目 的 
地 之 前 ,可 能 要 经 过 许多 通信 和 链 路 的 传输 。 因 此 ,在 链 路 加 密 中 信息 在 每 台 结 点 机 内 都 要 被 
解密 和 再 加 密 , 依 次 进行 ,直至 到 达 目 的 地 。 同 一 结 点 上 的 解密 和 加 密 密 钥 可 以 是 不 同 的 ， 
而 同一 条 链 路 两 端的 加 密 和 解密 是 相关 的 。 网 络 中 每 一 个 信息 经 过 的 结 点 都 必须 有 密码 装 
置 ,以 便 进 行 解密 和 加 密 。 如 果 信 息 仅 在 一 部 分 链 路 上 加 密 而 在 另 一 部 分 链 路 上 不 加 密 , 仍 
然 是 不 安全 的 ,也 就 相当 于 都 未 加 密 。 

链 路 加 密 时 由 于 报头 和 正文 在 链 路 上 均 被 加 密 , 可 掩盖 被 传输 信息 的 源 点 与 终点 ,这 使 
得 信息 的 频率 和 长 度 特性 得 以 掩盖 ,从 而 可 屏蔽 掉 报 文 的 频率 .长度 等 特征 ,这 样 使 攻击 者 
得 不 到 这 些 特征 值 。 因 此 , 链 路 加 密 可 防止 报 文 流量 分 析 的 攻击 。 

2. 端 到 端 加 密 

端 到 端 加 密 (End-to-End Encryption) 是 传输 数据 在 应 用 层 上 完成 的 加 密 方式 。 端 到 端 
加 密 可 为 两 个 用 户 之 问 传输 的 数据 提供 连续 的 安全 保护 。 数 据 在 初始 结 点 上 被 加 密 , 直 到 
目的 结 点 时 才 被 解密 ,在 中 间 结 点 和 链 路 上 数据 均 以 密 文 形 式 传输 ,如 图 5. 4.2 所 示 。 这 
样 ,信息 在 整个 传输 过 程 中 均 受 到 保护 ,所 以 即使 有 结 点 被 损坏 也 不 会 使 信息 泄露 。 
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端 到 端 加 密 时 ,只 有 在 发 送 端 和 接收 端 才 有 加 密 和 解密 设备 ,中 间 各 结 点 不 需要 有 密码 
设备 。 因 此 ,与 链 路 加 密 相 比 ,可 减少 很 多 密码 设备 的 数量 。 另 一 方面 ,由 于 信息 是 由 报头 
和 报 文 组 成 的 , 报 文 为 传输 的 信息 ,报头 为 路 由 等 控制 信息 ,因此 网 络 中 数据 传输 时 会 涉及 
路 由 选择 。 在 链 路 加 密 时 , 报 文 和 报头 两 者 都 被 加 密 ,而 在 端 到 端 加 密 时 ,各 中 间 结 点 虽 不 
进行 解密 ,但 必须 检查 报头 信息 ,所 以 路 由 等 控制 信息 不 能 被 加 密 , 必 须 是 明文 , 即 端 到 端 加 
密 只 能 对 信息 的 正文 ( 报 文 ) 进 行 加 密 ,而 不 能 对 报头 加 密 。 

3. 通信 加 密 方式 的 比较 

链 路 加 密 是 对 一 条 链 路 的 通信 采取 保护 措施 ,而 端 到 端 加 密 则 是 对 整个 网 络 的 通信 系 
统 采取 保护 措施 。 

端 到 端 加 密 系统 的 价格 便宜 , 且 与 链 路 加 密 相 比 更 可 靠 ,也 更 容易 设计 、 实 现 和 维护 。 
端 到 端 加 密 还 避免 了 其 他 加 密 系 统 所 固有 的 同步 问题 ,因为 每 个 报 文 包 均 是 独立 被 加 密 的 ， 
所 以 一 个 报 文 包 所 发 生 的 传输 错误 不 会 影响 其 他 报 文 包 。 端 到 端 加 密 系统 通常 不 对 信息 的 
目的 地 址 进行 加 密 , 这 是 因为 每 一 个 信息 所 经 过 的 结 点 都 要 用 此 地 址 来 确定 如 何 传输 信息 。 
由 于 这 种 方法 不 能 掩盖 被 传输 信息 的 源 点 与 终点 ,因此 它 无 法 有 效 地 防止 信息 流量 分 析 
攻击 。 

采用 链 路 加 密 方式 ,从 起 点 到 终点 要 经 过 许多 中 间 结 点 ,在 每 个 结 点 上 信息 均 以 明文 形 
式 出 现 。 如 果 链 路 上 的 某 一 结 点 安全 防护 比较 薄弱 ,那么 按照 木 桶 原理 ,虽然 采取 了 加 密 措 
施 ,但 整个 链 路 的 安全 状况 也 是 薄弱 的 。 因 此 链 路 加 密 具 有 加 密 方式 比较 简单 、 容 易 实现 ， 
可 防止 报 文 流量 分 析 的 攻击 ,一 条 链 路 被 攻破 而 不 影响 其 他 链 路 上 的 信息 ,一 个 中 间 结 点 被 


























图 5.4.2 端 到 端 加 密 示 意图 


攻破 时 通过 该 结 点 的 所 有 信息 将 被 泄露 ,加 密 和 维护 费用 大 ,用 户 费 用 很 难 合理 分 配 等 
特点 。 

采用 端 到 端 加 密 方式 ,只 是 发 送 方 加 密 报 文 ,接收 方 解 密 报 文 , 中 间 结 点 不 必 进 行 加 密 
和 解密 ,因此 端 到 端 加 密 具 有 可 提供 灵活 的 保密 手段 (如 主机 到 主机 、 主 机 到 终端 .主机 到 进 
程 的 保护 ) ,加 密 费 用 低 且 能 准确 分 挫 , 可 提高 网 络 加 密 功 能 的 灵活 性 (加 密 在 应 用 层 实现 )， 
可 采用 软件 实现 且 方 便 易 行 ,不 能 防止 对 信息 流量 分 析 的 攻击 ,对 用 户 是 透明 的 (加 密 结果 
对 用 户 是 可 见 的 ,起 点 .终点 很 明确 ,可 进行 用 户 认证 ) 等 特点 。 

从 以 上 分 析 可 知 , 链 路 加 密 对 用 户 来 说 比较 容易 ,但 所 用 设备 较 多 ,而 端 到 端 加 密 比 较 
灵活 。 因 此 ,用 户 在 确定 选择 通信 加 密 方式 时 可 做 如 下 考虑 。 

(1) 在 需要 保护 的 链 路 数 少 , 且 要 求实 时 通信 、 不 支持 端 到 端 加 密 远 程 调用 等 场合 ,可 
选用 链 路 加 密 方式 。 

(2) 在 需要 保护 的 链 路 数 较 多 ,或 在 文件 保护 .邮件 保护 、 支 持 端 到 端 加 密 的 远程 调用 等 
通信 场合 , 宜 采 用 端 到 端 加 密 方式 ; 在 多 个 网 络 互联 的 环境 中 ,也 宜 采 用 端 到 端 加 密 方式 。 

(3) 在 需要 抵御 信息 流量 分 析 的 场合 ,可 考虑 采用 链 路 加 密 和 端 到 端 加 密 相 结合 的 方 
式 , 即 用 链 路 加 密 方式 加 密 路 由 信息 ,用 端 到 端 加 密 方式 加 密 端 到 端 传输 的 报 文 。 

总 体 来 说 , 端 到 端 加 密 具 有 成 本 低 、 保 密 性 强 .灵活 性 好 等 优点 ,应 用 更 为 广泛 。 


5.4.3 网 络 保密 通信 协议 


本 节 将 介绍 几 种 在 网 络 中 保证 数据 安全 传输 的 保密 通信 协议 及 应 用 。 

1. SSL 协议 及 应 用 

1) SSL 协议 

SSL(Secure Sockets Layer, 安 全 套 接 层 ) 协 议 是 一 种 在 客户 端 和 服务 器 端 之 间 建 立 安 
全 通道 的 协议 , 它 已 被 广泛 应 用 于 Web 浏览 器 与 服务 器 之 间 的 身份 认证 和 加 密 数 据 传输 。 
SSL 是 基于 Web 应 用 的 安全 协议 ,主要 提供 用 户 和 服务 器 的 合法 性 认证 ,数据 加 密 解 密 和 
数据 的 完整 性 功能 。 现 行 的 Web 浏览 器 普遍 将 HTTP 和 SSL 相 结合 ,从 而 实现 Web 服务 
器 和 客户 端 浏览 器 之 间 的 安全 通信 。SSL 协议 采用 公开 密 钥 技术 ,其 目的 是 保证 发 收 两 端 
通信 的 保密 性 和 可 靠 性 。SSL 协议 所 采用 的 加 密 算法 和 认证 算法 使 它 具 有 较 高 的 安全 性 ， 
因此 其 很 快 成 为 事实 上 的 工业 标准 。SSL 协议 的 后 续 协 议 TLS(Transport Layer Security， 
传输 层 安 全 ) 协 议 用 于 在 两 个 应 用 程序 之 间 提 供 信息 的 机 密 性 和 数据 完整 性 。SSL 当前 版 
本 为 3. 0, 最 新 版 本 的 TLS 1.0 是 IETF( 工 程 任务 组 ) 制 定 的 一 种 新 协议 , 它 建立 在 SSL 3.0 
协议 之 上 ,是 SSL 3.0 的 后 续 版 本 ,可 将 其 理解 为 SSL 3. 1。 

SSL 采用 TCP 作为 传输 协议 提供 数据 的 可 靠 性 传输 。SSL 工作 在 传输 层 之 上 ,独立 于 
更 高 层 应 用 ,可 为 更 高 层 协议 (如 HTTP、FTP 等 ) 提 供 安全 服务 。SSL 协议 在 应 用 层 协 议 
通信 之 前 就 已 完成 了 加 密 算法 .通信 密 钥 的 协商 和 服务 器 认证 工作 。 在 此 之 后 应 用 层 协 议 
所 传送 的 数据 都 会 被 加 密 ,从 而 保证 通信 的 保密 性 。 

SSL 不 是 一 个 单独 的 协议 ,而 是 由 多 个 协议 构成 的 ,主要 部 分 是 记录 协议 和 握手 协议 。 
SSL 记录 协议 建立 在 可 靠 的 传输 协议 (如 TCP) 之 上 ,利用 IDEA、DES、3DES 或 其 他 加 密 算 
法 进行 数据 加 密 和 解密 ,为 高 层 协议 提供 数据 封装 、 压 缩 、 加 密 等 基本 功能 的 支持 ; SSL 握 
手 协议 建立 在 SSL 记录 协议 之 上 ,允许 通信 实体 在 交换 应 用 数据 之 前 协商 密 钥 的 算法 、 交 
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换 加 密 密 钥 和 对 客户 端 进行 认证 。 

2) SSL 协议 的 功能 

SSL 安全 协议 主要 提供 以 下 三 方面 的 服务 功能 。 

(1) 用 户 和 服务 器 的 合法 性 认证 。 认 证 用 户 和 服务 器 的 合法 性 ,能 够 确保 数据 将 被 发 
送 到 正确 的 客户 机 和 服务 器 上 。 客 户 机 和 服务 器 都 具有 各 自 的 识别 号 ,这 些 识 别 号 由 公开 
密 钥 进行 编号 。 为 了 验证 用 户 是 否 合法 ,SSL 协议 要 求 在 握手 交换 数据 时 进行 数字 认证 ， 
以 此 来 确保 用 户 的 合法 性 。 

(2) 数据 加 密 。SSL 协议 所 采用 的 加 密 技 术 既 有 对 称 密 钥 技 术 , 也 有 公开 密 钥 技术 。 
在 客户 机 与 服务 器 进行 数据 交换 之 前 交换 SSL 初始 握手 信息 ,在 SSL 握手 信息 中 采用 各 种 
加 密 技 术 对 其 加 密 , 以 保证 其 保密 性 和 数据 的 完整 性 ,并 且 用 数字 证 书 进行 鉴别 ,这 样 就 可 
以 防止 非法 用 户 进行 破译 。 

(3) 数据 的 完整 性 。SSL 协议 采用 Hash 函数 和 机 密 共享 的 方法 提供 信息 的 完整 性 服 
务 ,建立 客户 机 与 服务 器 之 间 的 安全 通道 ,使 所 有 经 过 SSL 协议 处 理 的 业务 在 传输 过 程 中 
能 全 部 准确 地 到 达 目 的 地 。 

3) SSL 协议 的 实现 过 程 

SSL 协议 对 通信 对 话 过 程 进行 安全 保护 。 其 实现 过 程 主要 有 如 下 几 个 阶段 。 

(1) 接 通 阶段 。 客 户 机 通过 网 络 向 服务 器 打招呼 ,服务 器 回应 。 

(2) 密码 交换 阶段 。 客 户 机 与 服务 器 之 间 交 换 双 方 认可 的 密码 ,一 般 选用 RSA 密码 算 
法 ,也 可 选用 Diffie-Hellman 密码 算法 。 

(3) 会 话 密码 阶段 。 客 户 机 与 服务 器 间 产 生 彼 此 交流 的 会 话 密码 。 

(4) 检验 阶段 。 客 户 机 检验 服务 器 取得 的 密码 。 

(5) 客户 认证 阶段 。 服 务 器 验证 客户 机 的 可 信和 度 。 

(6) 结束 阶段 。 客 户 机 与 服务 器 之 间 相 互 交换 结束 信息 。 

当 上 述 过 程 完成 后 ,两 者 间 的 资料 传送 就 是 保密 的 。 当 另 一 方 收 到 资料 后 ,再 将 加 密 资 
料 还 原 。 即 使 盗窃 者 在 网 络 上 取得 加 密 后 的 资料 ,也 不 能 获得 可 读 的 有 用 信息 。 

4) SSL 协议 的 应 用 

SSL 协议 主要 使 用 公开 密 钥 体制 和 X. 509 数字 证 书 技术 保护 信息 传输 的 保密 性 和 完 
整 性 ,但 不 能 保证 信息 的 不 可 否认 性 。 它 主要 适用 于 点 对 点 之 间 的 信息 传输 ,常用 Web 服 
务 器 方式 。 

使 用 SSL 安全 机 制 时 ,客户 端 与 服务 器 端 要 先 建立 连接 ,服务 器 把 它 的 数字 证 书 与 公 
钥 一 起 发 送 给 客户 端 。 然 后 客户 端 随机 生成 会 话 密 钥 , 用 从 服务 器 得 到 的 公 钥 对 会 话 密 钥 
进行 加 密 , 并 把 会 话 密 钥 在 网 络 上 传递 给 服务 器 。 会 话 密 钥 只 有 在 服务 器 端 用 私 钥 才能 解 
密 。 这 样 ,客户 端 和 服务 器 端 就 建立 了 一 条 安全 通道 。 

SSL 协议 是 一 个 保证 网 络 通信 安全 的 协议 .对 通信 对 话 过 程 进 行 安全 保护 。 例 如 ,一 
台 客 户 机 与 一 台 主机 连接 ,首先 要 初始 化 握手 协议 ,然后 就 建立 一 个 SSL, 对 话 开始 。 直 到 
对 话 结束 ,SSL 协议 都 会 对 整个 通信 过 程 进 行 加 密 , 并 且 检 查 其 完整 性 。 建 立 SSL 安全 机 
制 后 ,只 有 SSL 允许 的 客户 才能 与 SSL 允许 的 Web 站 点 进行 通信 ,并 且 在 使 用 URL 资源 
定位 器 时 ,输入 “https://” 而 不 是 “http://”。 





2. SSH 协议 及 应 用 

SSH(Secure Shell ,安全 外 壳 ) 协 议 是 由 IETF 网 络 工作 组 制定 、 建 立 在 应 用 层 和 传输 层 
基础 上 的 安全 协议 ,目前 已 经 得 到 广泛 应 用 。 它 具有 易于 使 用 .安全 性 和 灵活 性 好 等 优点 ， 
是 一 种 在 不 安全 网 络 上 提供 安全 远程 登录 及 其 他 安全 网 络 服务 的 协议 。 

1) SSH 协议 

TCP/IP 协议 本 质 上 是 不 安全 的 ,因为 它们 允许 在 网 络 上 以 明文 传送 数据 ,用户 账 号 和 
用 户口 令 ,攻击 者 可 以 通过 窃听 等 手段 轻易 地 截获 这 些 信息 。 而 且 TCP/IP 应 用 层 服 务 ( 如 
FTP Telnet 和 PoP 等 ) 的 简单 安全 验证 方式 也 有 其 弱点 ,很 容易 受到 * 中 间 人 ”方式 的 攻 
击 。 所 谓 “ 中 间 人 ”攻击 ,就 是 "中间 人 ”冒充 真正 的 服务 器 接收 用 户 传 送 给 服务 器 的 数据 , 然 
后 再 冒充 用 户 把 数据 传送 给 真正 的 服务 器 。 服 务 器 和 用 户 之 间 传 送 的 数据 会 被 “中间 人 ”做 
手脚 ,这 就 会 出 现 严重 的 安全 问题 。 

通过 使 用 SSH 协议 ,用 户 可 以 对 所 有 传输 的 数据 进行 加 密 , 这 样 可 防止 “中 间 人 ”方式 
的 攻击 ,同时 也 能 防止 DNS 欺骗 和 IP 欺骗 。SSH 有 很 多 功能 , 既 可 以 代替 Telnet, 又 可 以 
为 FTP、PoP 、PPP 等 提供 安全 “通道 ”。 

SSH 协议 分 为 客户 端 和 服务 器 端 两 部 分 。 服 务 器 端 是 一 个 守护 进程 (daemon) ,在 后 
运行 并 响应 来 自 客户 端的 连接 请 求 。 服 务 器 端 一 般 是 sshd 进程 ， 提供 对 远程 连接 的 处 理 ， 
一 般 包括 公 钥 认证 、 密 钥 交 换 、 对 称 密 钥 加 密 和 非 安全 连接 。 客 户 端 包含 ssh 程序 和 scp( 远 
程 复制 )、slogin( 远 程 登 录 ) ,sftp( 安 全 文件 传输 ) 等 应 用 程序 。 

从 客户 端 来 看 ,SSH 提供 基于 口令 和 基于 密 钥 的 两 种 级 别 的 安全 验证 。 

基于 口令 的 安全 验证 : 只 要 用 户 知道 自己 的 账号 和 口令 ,就 可 以 登录 到 远程 主机 ,并 且 
所 有 传输 的 数据 都 会 被 加 密 。 但 这 种 验证 方式 不 能 保证 用 户 正在 连接 的 服务 器 就 是 自己 希 
望 连接 的 服务 器 ,可 能 会 有 其 他 服务 器 在 冒充 真正 的 服务 器 , 即 受到 “中 间 人 "方式 的 攻击 。 

基于 密 钥 的 安全 验证 : 用 户 必 须 为 自己 创建 一 对 密 钥 ,并 把 公开 密 钥 放 在 需要 访问 的 
服务 器 上 。 如 果 用 户 要 连接 到 SSH 服务 器 上 ,客户 端 软件 就 会 向 服务 器 发 出 请 求 ,请求 以 
用 户 密 钥 进行 安全 验证 ; 服务 器 收 到 请 求 后 , 先 在 该 服务 器 的 用 户 根 目录 下 寻找 用 户 的 公 
钥 ,然后 将 其 与 用 户 发 送 过 来 的 公 钥 进行 比较 。 如 果 两 个 密 钥 一 致 ,服务 器 就 会 用 公 钥 加 密 
“质询 ?并 将 其 发 送 给 客户 端 软 件 。 客 户 端 收 到 “质询 ”后 就 可 以 使 用 用 户 私 钥 解密 ,然后 将 
其 发 送 给 服务 器 。 

SSH 协议 是 建立 在 应 用 层 和 传输 层 基 础 上 的 安全 认证 协议 ,主要 由 SSH 传输 层 协议 、 
SSH 用 户 认证 协议 和 SSH 连接 协议 三 部 分 组 成 ,共同 实现 SSH 的 安全 保密 机 制 。 

(1) SSH 传输 层 协议 。 

SSH 传输 层 协议 是 SSH 协议 提供 安全 功能 的 主要 部 分 , 它 提供 加 密 技术 、 密 码 主机 认 
证 及 数据 保密 性 和 完整 性 保护 等 安全 措施 ,此 外 它 还 提供 数据 压缩 功能 ,以 提高 信息 传送 的 
速度 。 通 常 这 些 传输 层 协 议 主要 建立 在 面向 连接 的 TCP 数据 流 之 上 ,也 可 能 建立 在 其 他 可 
靠 的 数据 流 上 。SSH 协议 中 的 认证 是 基于 主机 的 , 且 不 执行 用 户 认 证 。 当 SSH 协议 建立 
用 户 和 远程 主机 之 间 的 TCP/IP 协议 连接 时 ,双方 首先 要 交换 标识 串 ( 包 含 SSH 协议 和 软 
件 的 版 本 号 ) ,然后 进行 密 钥 交换 。 

(2) SSH 用 户 认证 协议 。 

SSH 用 户 认 证 协议 用 于 实现 服务 器 和 客户 端 用 户 之 间 的 身份 认证 , 它 运行 在 传输 层 协 
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议 之 上 。SSH 认证 包括 主机 认证 和 用 户 认 证 两 部 分 ,可 以 使 用 口令 认证 ,用户 公 钥 认 证 和 
基于 主机 名 字 的 认证 方式 。 

主机 认证 可 以 基于 预 共享 密 钥 和 公 钥 算法 ,采用 “质询 /应 答 ” 的 方式 实现 。 最 简单 的 方 
法 是 : 用 对 方 的 公 钥 加 密 一 个 随机 数据 串 ,然后 传送 给 对 方 。 如 果 对 方 能 正确 解密 ,返回 正 
确 的 随机 数据 串 , 则 可 以 证 明 对 方 的 身份 。 主 机 认证 可 采用 基于 预 共 享 密 钥 的 方式 和 基于 
证 书 的 方式 来 实现 。 

用 户 认证 是 在 主机 认证 的 基础 上 实现 的 ,如 果 没 有 主机 认证 ,可 能 会 发 生 以 下 情况 : 用 
户 连 接 到 虚假 服务 器 ,导致 口令 以 及 私有 信息 的 泄露 ; 用 户 的 口令 被 窃取 后 ,攻击 者 可 以 随 
便 连 接 到 SSH 服务 器 上 。 用 户 认 证 可 以 是 基于 主机 的 ,也 可 以 是 基于 用 户 名 的 。 基 于 主机 
的 用 户 认证 可 以 通过 公 钥 算法 来 实现 ,基于 用 户 名 的 用 户 认 证 可 以 采用 系统 口令 的 方式 或 
利用 用 户 的 公 钥 来 实现 。 

(3) SSH 连接 协议 。 

SSH 连接 协议 运行 在 用 户 认 证 协议 之 上 ,可 将 多 个 加 密 隧道 分 成 逻辑 通道 ,并 提供 交 
互 式 登 录 、 远 程 命令 执行 ,转发 TCP/IP 连接 和 X. 11 连接 。 

当 安 全 的 传输 层 连接 建立 之 后 ,客户 端 将 发 送 一 个 服务 请 求 ; 当 用 户 认证 层 连接 建立 
之 后 将 发 送 第 二 个 服务 请 求 。 这 就 允许 新 定义 的 协议 可 以 与 上 述 协议 共存 。SSH 连接 协 
议 提供 用 途 广泛 的 各 种 通道 ,为 设置 安全 的 交互 式 Shell 会 话 、 传 输 任意 的 TCP/IP 端口 和 
建立 X. 11 连接 提供 标准 方法 。 

2) 使 用 SSH 建立 安全 通信 

SSH 最 常见 的 应 用 就 是 取代 传统 的 Telnet、FTP 等 网 络 应 用 程序 ,通过 SSH 登录 到 远 
程 机 器 上 执行 用 户 希 望 执行 的 命令 ,主要 用 于 解决 口令 在 网 上 明文 传输 的 问题 。 在 不 安全 
的 网 络 通信 环境 中 , 它 可 提供 很 强 的 验证 机 制 和 安全 的 通信 环境 。 为 了 系统 安全 和 用 户 自 
身 的 权益 ,推广 SSH 是 必要 的 。 通 过 使 用 SSH ,用 户 可 以 把 所 有 传输 的 数据 进行 加 密 , 这 
样 “ 中 间 人 ”这 种 攻击 方式 就 不 可 能 实现 了 ,而 且 也 能 够 防止 DNS 欺骗 和 IP 欺骗 。 

WinSSHD( 适 用 于 Windows 系统 平台 的 SSH 服务 器 ) 软 件 支持 SSH2、SFTP、SCP 和 
端口 转发 。 用 户 可 在 Windows 系统 中 安装 WinSSHD, 实 现 安 全 通信 。WinSCP 是 在 
Windows 环境 下 使 用 SSH 的 图 形 化 SFTP 客户 端 软件 ,其 主要 功能 是 在 本 地 与 远程 计算 
机 间 安 全 地 复制 文件 。 

3. SET 协议 及 应 用 

电子 商务 在 为 人 们 提供 机 遇 和 便利 的 同时 ,也 面临 着 一 个 大 的 挑战 , 即 交 易 的 安全 问 
题 。 在 开放 的 网 络 中 处 理 电 子 商务 ,保证 买卖 双方 传输 数据 的 安全 已 成 为 电子 商务 的 重要 
任务 。 在 网 上 购物 的 环境 下 , 持 卡 人 和 希望 在 交易 中 保密 自己 的 账户 信息 ,使 之 不 被 人 盗用 。 
商家 则 希望 客户 的 订单 不 可 抵赖 , 且 在 交易 过 程 中 ,交易 各 方 都 希望 验 明 其 他 方 的 身份 ,以 
防止 被 欺骗 。 为 了 满足 电子 交易 不 断 增加 的 安全 要 求 , 由 美国 Visa 和 MasterCard 两 大 信 
用 卡 组 织 联合 国际 上 多 家 科技 机 构 , 共 同 制定 了 应 用 于 Internet 上 以 银行 卡 为 基础 进行 在 
线 交 易 的 安全 标准 ,这 就 是 安全 电子 交易 (Secure Electronic Transaction,SET) 协 议 。 

SET 协议 为 电子 交易 提供 了 许多 保证 安全 的 措施 。 它 能 保证 电子 交易 的 保密 性 (采用 
公 钥 加 密 和 私 钥 加 密 相 结合 的 办 法 保证 数据 的 保密 性 ) .数据 完整 性 (采用 RSA 加 密 数字 
签名 和 信息 摘要 技术 保证 信息 的 完整 性 ) 交易 各 方 身份 的 合法 性 和 交易 行为 的 不 可 否认 性 





(采用 X. 509 电子 证 书 标准 、 数 字 签 名 , 报 文摘 要 和 双重 签名 等 技术 确保 商家 和 客户 的 身份 
认证 和 交易 行为 的 不 可 否认 性 )。SET 协议 设计 的 证 书包 括 银行 证 书 及 发 卡 机 构 证 书 、 支 
付 网 关 证 书 和 商家 证 书 。 

SET 协议 主要 使 用 电子 认证 技术 ,其 认证 过 程 使 用 RSA 和 DES 算法 ,因此 可 以 为 电 
子 商 务 提供 很 好 的 安全 保护 。SET 协议 使 用 以 对 称 和 非 对 称 加 密 技 术 为 基础 的 数字 信封 
技术 .数字 签名 技术 、 信 息 摘 要 技术 等 保证 数据 传输 和 处 理 的 安全 性 。 

SET 在 保留 对 客户 信用 卡 认证 的 前 提 下 ,又 增加 了 对 商家 身份 的 认证 ,这 对 于 需要 支 
付 货币 的 交易 来 讲 是 至 关 重 要 的 。 由 于 设计 合理 ,SET 协议 得 到 了 许多 大 公司 和 消费 者 的 
支持 ,已 成 为 全 球 网 络 的 工业 标准 ,其 交易 形态 将 成 为 未 来 电子 商务 的 规范 。 

由 于 SET 规范 是 由 信用 卡 发 卡 公 司 参与 制定 的 ,一 般 认 为 ,SET 的 认证 系统 是 有 效 
的 。 当 一 位 供 货 商 在 计算 机 上 收 到 一 张 有 SET 签证 的 订单 时 , 供 货 商 就 可 以 确认 该 订单 有 
一 张 合法 的 信用 卡 支持 ,这 时 他 就 能 放心 地 接 下 这 笔 生 意 。 同 样 , 由 于 有 SET 作 保 障 ,发 出 
订单 的 客户 也 会 确认 自己 是 在 与 一 个 诚实 的 供 货 商 做 买卖 ,因为 该 供 货 商 受到 Visa 或 
MasterCard 发 卡 组 织 的 信赖 。 

SET 协议 保证 了 在 开放 的 网 络 中 使 用 信用 卡 进行 在 线 购 物 的 安全 , 它 具 有 保证 交易 数 
据 的 完整 性 .交易 信息 的 机 密 性 交易 的 不 可 抵赖 性 和 交易 各 方 身份 的 合法 性 等 优点 ,已 成 
为 公认 的 网 上 交易 的 国际 标准 。 

4. Kerberos 协议 及 应 用 

Kerberos 是 一 种 提供 网 络 认 证 服务 的 系统 ,其 设计 目的 是 通过 密 钥 系 统 为 Client/ 
Server 应 用 程序 提供 强大 的 认证 服务 。 该 认证 过 程 的 实现 不 依赖 于 主机 操作 系统 的 认证 ， 
无 须 基 于 主机 地 址 的 信任 ,不 要 求 网 络 上 所 有 主机 的 物理 安全 ,并 假定 网 络 上 传送 的 数据 包 
可 以 被 任意 地 读 取 、 修 改 和 插入 数据 。 

1) Kerberos 协议 

Kerberos 协议 是 为 TCP/IP 网 络 系统 设计 的 一 种 基于 对 称 密 钥 密码 体制 的 第 三 方 认 
证 协议 。Kerberos 协议 在 许多 系统 中 都 得 到 广泛 的 应 用 ,如 Kerberos 协议 是 Windows 
2000/2003/2008 等 操作 系统 的 基础 认证 协议 。Kerberos 协议 得 到 了 广泛 的 支持 ,这 意味 着 
Windows Server 2008 域 发 出 的 票证 可 以 在 其 他 领域 中 使 用 ,如 运行 MacOS、NetWare、 
UNIX、AIX IRIX 等 系统 的 网 络 。 

Kerberos 协议 定义 了 客户 端 和 密 钥 分 配 中 心 (Key Distribution Center, KDC) 的 认证 
服务 之 间 的 安全 交互 过 程 。KDC 由 认证 服务 器 AS 和 票证 授权 服务 器 TGS 两 部 分 组 成 。 
Kerberos 协议 根据 KDC 的 第 三 方 服 务 中 心 来 验证 网 络 中 计算 机 的 身份 ,并 建立 密 钥 以 保 
证 计算 机 间 安 全 连接 。Kerberos 协议 允许 一 台 计 算 机 通过 交换 加 密 消 息 在 整个 非 安 全 网 
络 上 与 另 一 台 计 算 机 互相 证 明 身 份 。 一 旦 身份 得 到 验证 ,Kerberos 协议 将 会 给 这 两 台 计 算 
机 提供 密 钥 ,以 进行 安全 通信 对 话 。Kerberos 协议 可 以 认证 试图 登录 上 网 的 用 户 的 身份 ， 
并 通过 使 用 密 钥 密码 为 用 户 间 的 通信 进行 加 密 。 

Kerberos 协议 以 票证 (ticket) 系统 为 基础 ,票证 是 KDC 发 出 的 一 些 加 密 数据 包 , 它 可 
标识 用 户 的 身份 及 其 网 络 访问 权限 。 每 个 KDC 负责 一 个 领域 (realm) 的 票证 发 放 。KDC 
类 似 于 发 卡 机 构 ,“ 票 证 ”类 似 通行 “护照 ”, 它 带 有 安全 信息 。 在 Windows 系统 中 ,每 个 域 也 
是 一 个 Kerberos 领域 ,每 个 Active Directory 域 控 制 器 (DC) 就 是 一 个 KDC。 执 行 基于 
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Kerberos 的 事务 时 ,用 户 将 透明 地 向 KDC 发 送 票证 请 求 。KDC 将 访问 数据 库 以 验证 用 户 
的 身份 ,然后 返回 授予 用 户 访 问 其 他 计算 机 的 权限 的 票证 。 

Windows 系统 中 采用 多 种 措施 提供 对 Kerberos 协议 的 支持 ,在 系统 的 每 个 域 控制 器 
中 都 应 用 了 KDC 认证 服务 。Windows 系统 中 应 用 了 Kerberos 协议 的 扩展 , 除 共享 密 钥 
外 ,还 支持 基于 公开 密 钥 密码 的 身份 认证 机 制 。Kerberos 公 钥 认证 的 扩展 允许 客户 端 在 请 
求 一 个 初始 TGT(TGT 称 为 票据 授权 票证 ,是 一 个 KDC 发 给 验证 用 户 的 资格 证 ) 时 使 用 私 
钥 , 而 KDC 则 使 用 公 钥 来 验证 请 求 ,该 公 钥 是 从 存储 在 活动 目录 中 用 户 对 象 的 X. 509 证 书 
中 获取 的 。 用 户 的 证 书 可 以 由 权威 的 第 三 方 发 放 , 也 可 以 由 Windows 系统 中 的 微软 证 书 服 
务 器 产生 。 初 始 认 证 以 后 ,就 可 以 使 用 标准 的 Kerberos 来 获取 会 话 票证 ,并 连接 到 相应 的 
网 络 服务 。 

2) Kerberos 协议 应 用 

Kerberos 协议 允许 网 络 上 的 通信 实体 互相 证 明 彼 此 的 身份 ,并且 能 够 阻止 窃听 和 重 放 
等 攻击 。 此 外 , 它 还 能 够 提供 对 通信 数据 保密 性 和 完整 性 的 保护 。 

当 用 户 首次 登录 Windows 时 .Kerberos 安全 服务 提供 者 (Security Support Provider， 
SSP) 利 用 基于 用 户口 令 的 加 密 散 列 获取 一 个 初始 Kerberos 票证 TGT。Windows 系统 把 
TGT 存储 在 与 用 户 登录 上 下 文 相 关 的 工作 站 的 票证 缓存 中 。 当 客户 端 想 要 使 用 网 络 服务 
时 ,Kerberos 首先 检查 票证 缓存 中 是 否 有 该 服务 器 的 有 效 会 话 票 证 。 如 果 没 有 , 则 向 KDC 
发 送 TGT 请 求 一 个 会 话 票证 ,以 便服 务 器 提供 服务 。 请 求 的 会 话 票证 也 存储 在 票证 缓存 
中 ,以 用 于 后 续 对 同一 个 服务 器 的 连接 ,直到 票证 超期 为 止 。 如 果 在 会 话 过 程 中 票证 超期 ， 
Kerberos SSP 将 返回 一 个 响应 的 错误 值 ,允许 客户 端 和 服务 器 刷新 票证 ,产生 一 个 新 的 会 
话 密 钥 ,并 恢复 连接 。 在 初始 连接 消息 中 ,Kerberos 把 会 话 票证 提交 给 远程 服务 ,会 话 票 证 
中 的 一 部 分 使 用 了 服务 和 KDC 共享 的 密 钥 进行 加 密 。 因 为 服务 器 端的 Kerberos 有 服务 器 
密 钥 的 缓存 备份 ,所 以 服务 器 不 需要 到 KDC 进行 认证 ,而 直接 可 以 通过 验证 会 话 票 证 来 认 
证 客户 端 。 在 服务 器 端 ,采用 Kerberos 认证 系统 的 会 话 建立 速度 要 比 NTLM 认证 快 得 多 。 
因为 使 用 NTLM 在 服务 器 获取 用 户 的 信任 书后 ,还 要 与 域 控制 器 建立 连接 ,对 用 户 进行 重 
新 认证 。 

在 Windows 系统 中 ,KDC 通常 安装 在 Active Directory 服务 器 上 。 它 们 不 会 按照 应 用 
程序 进程 进行 连接 ,而 是 作为 单独 的 服务 进程 运行 。 但 由 于 KDC 总 是 安装 在 DC 上 ,所 以 
可 通过 查找 DC 的 主机 地 址 来 解析 KDC 域名 。 

Kerberos 验证 分 为 初始 验证 和 后 续 验 证 两 个 阶段 。 

(1) 初始 验证 。 

客户 机 (用 户 或 NFS 服务 ) 通 过 从 KDC 请 求 TGT 开始 Kerberos 会 话 。 此 请 求 通常 在 
登录 时 自动 完成 。TGT 可 标识 用 户 的 身份 并 允许 用 户 获 取 多 个 “签证 ”, 此 处 的 “签证 ”( 票 
证 ) 用 于 远程 计算 机 或 网 络 服务 。TGT 与 其 他 各 种 票证 一 样 也 具有 有 限 的 生命 周期 ,区 别 
在 于 基于 Kerberos 的 命令 会 通知 用 户 拥有 护照 并 为 用 户 取得 签证 ,而 用 户 不 必 末 自 执行 该 
事务 。 

KDC 可 创建 TGT, 并 采用 加 密 形 式 将 其 发 送 回 客户 机 ,客户 机 使 用 其 口令 来 解密 
TGT。 客 户 机 在 拥有 有 效 的 TGT 后 ,只 要 该 TGT 未 到 期 , 便 可 以 请 求 所 有 类 型 网 络 操作 
(如 rlogin 或 telnet) 的 票证 。 每 次 客户 机 执行 唯一 的 网 络 操作 时 ,都 将 从 KDC 请 求 该 操作 





的 票证 。 

(2) 后 续 验 证 。 

客户 机 先 通过 向 KDC 发 送 其 TGT 作为 其 身份 证 明 , 从 KDC 请 求 特 定 服务 (如 远程 登 
录 到 另 一 台 计 算 机 ) 的 票证 ; KDC 再 将 该 特定 服务 的 票证 发 送 到 客户 机 ; 最 后 客户 机 将 票 
证 发 送 到 服务 器 。 使 用 NFS 服务 时 ,NFS 客户 机 会 自动 透明 地 将 NFS 服务 的 票证 发 送 到 
NFS 服务 器 。Kerberos 的 认证 过 程 如 下 。 

。 客户 机 向 认证 服务 器 (AS) 发 送 请 求 ,要求 得 到 某 服务 器 的 证 书 ; 

。 AS 的 响应 包含 这 些 用 客户 端 密 钥 加 密 的 证 书 ( 证 书 主要 由 服务 器 ticket 和 一 个 临 

时 加 密 密 钥 一 一 会 话 密 钥 构成 ); 
。 客户 机 将 ticket( 包 括 由 服务 器 密 钥 加 密 的 客户 机 身份 和 一 份 会 话 密 钥 的 备份 ) 传 送 
到 服务 器 上 。 

会 话 密 钥 可 用 来 认证 客户 机 或 认证 服务 器 ,也 可 用 来 为 通信 双方 以 后 的 通信 提供 加 密 
服务 ,或 通过 交换 独立 的 子 会 话 密 钥 为 通信 双方 提供 进一步 的 通信 加 密 服务 。 

3) Kerberos 的 安装 设置 

Kerberos 可 用 来 为 网 络 上 的 各 种 server 提供 认证 服务 ,使 得 口令 不 再 以 明文 方式 在 网 
络 上 传输 。 这 里 介绍 在 LinuxRedhat8. 0 环境 下 使 用 Kerberos 提供 的 Ktelnetd、 Krlogind 
和 Krshd 替代 传统 的 telnetd rlogind 和 rshd 服务 。 

安装 Kerberos 的 硬件 环境 为 一 台 1386 机 器 ,安装 软件 包 为 krb5-server-1. 2. 5-6 .krb5- 
workstation-1. 2. 5-6 和 krb5-libs-1. 2. 5-6。 

rpm— ivhkrb5 — libs -1.2.5- 6.1386.rpm 

rpm— ivhkrb5 - server -1.2.5— 6.1i386.rpm 

rpm— ivhkrb5 - workstation— 1.2.5— 6.1386. rpm 


上 述 要 求 满足 后 ,就 可 以 先 配置 KDC 服务 器 ,然后 再 配置 Ktelnetd、 Krlogind 和 Krsh 
服务 器 ,最 后 可 以 使 用 krb5-workstation 提供 的 telnet、rlogin 和 rsh 来 登录 这 些 服务 。 安 
装 步骤 如 下 。 

(1) 生成 Kerberos 的 本 地 数据 库 。 


kdb5_utilcreate— rEXAMPLE. COM—s 


该 命令 用 来 生成 Kerberos 的 本 地 数据 库 , 包 括 principal、 principal. OK 和 principal. 
kadm5 文件 ; principal. kadm5. lock. -r 指定 realm, 例 如 EXAMPLE. COM。 

(2) 生成 账号 。 

Kerberos 用 principal 来 表示 realm 下 的 一 个 账户 ,表示 为 primary/instance@ realm。 
例如 ,username/80. 191. 89. 92@EXAMPLE. COM, 这 里 假设 80. 191. 89. 92 是 客户 机 的 IP 
地 址 。 

在 数据 库 中 加 入 管理 员 账 户 。 


/usr/Kerberos/sbin/kadmin. local 
kadmin. local :addprincadmin/admin(@ EXAMPLE. COM 


在 数据 库 中 加 入 用 户 的 账号 。 
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kadmin. local :addprincusername/80. 191. 89.92(@EXAMPLE. COM 


在 数据 库 中 加 入 Ktelnetd、Krlogind 和 Krshd 公用 的 账号 。 


kadmin. local :addprinc - randkeyhost/80. 191. 89. 92(@EXAMPLE. COM 


(3) 检查 语句 。 
检查 /var/ Kerberos/krb5kdc/kadm5. keytab 是 否 有 如 下 语句 : 


# /admin(@EXAMPLE. COM x 


如 果 没 有 ,添加 上 即 可 。 
(4) 修改 /etc/krb5. conf 文件 。 
修改 所 有 的 realm 为 EXAMPLE. COM, 并 且 加 入 如 下 语句 : 


kdc = 80.191.89.92:88 
admin server = 80.191.89.92:749 


(5) 在 /etc/krb. conf 中 加 入 语句 。 


EXAMPLE. COM 
EXAMPLE. COM80. 191. 89. 92:88 
EXAMPLE. COM80. 191. 89. 92:749adminserver 


(6) 启动 KDC 服务 器 和 Ktelnetd,Krlogind,Krshd。 


/etc/init. d/krb5kdcrestart 
Chkconfigkloginon 
Chkconfigkshellon 
Chkconfigekloginon 
chkconfigkrb5 - telneton 
/etc/init. d/xinetdrestart 


(7) 制作 本 地 缓存 。 


将 username/80. 191. 89. 92@EXAMPLE. COM 的 credentials 取 到 本 地 作为 cache, 这 
样 以 后 就 可 以 不 用 重复 输入 password 了 。 


kinitusername/80.191.89.92 


如 果 顺 利 , 在 /tmp 下 会 生成 文件 krb5 * 。 这 一 步 如 果 不 通 ,那么 就 必须 检查 以 上 步骤 
是 否 有 错 。 可 以 用 klist 命令 查看 credential 。 

(8) 导出 用 户 密 钥 。 

eXPorthost/80. 191. 89. 92@ EXAMPLE. COM 的 key 到 /etc/krb5. keytab, Ktelnetd、 
Krlogind 和 Krshd 需要 /etc/krb5. keytab 来 验证 username/80. 191. 89. 92 的 身份 。 


kadmin. local :ktadd — k/etc/krb5. keytabhost/80.191.89.92 


(9) 修改 一 /.k5login 文件 。 
在 其 中 加 入 username/80. 191. 89. 92 @ EXAMPLE. COM. 表示 允许 username/ 
80. 191. 89. 92@EXAMPLE. COM 登录 该 账户 。 


catusername/80.191.89.92(@EXAMPLE. COM >>~/.k5login 


(10) 测试 Kerberos 客户 端 。 


krsh80.191.89.92 — kEXAMPLE. COM 
krlogin80.191.89.92 — kEXAMPLE. COM 
rlogin80. 191.89.92 — kEXAMPLE. COM 
rsh80.191.89.92 — kEXAMPLE. COM 
telnet — x80. 191. 89.92 — kEXAMPLE. COM 


5. IPSec 协议 及 应 用 

1) IPSec 协议 

IP 安全 (IP Security ,IPSec) 协 议 是 网 络 安全 协议 的 一 个 工业 标准 ,也 是 目前 TCP/IP 
网 络 的 安全 化 协议 标准 。IPSec 最 主要 的 功能 是 为 IP 通信 提供 加 密 和 认证 ,为 IP 网 络 通信 
提供 透明 的 安全 服务 ,保护 TCP/IP 通信 和 免 遭 窃听 和 算 改 ,有 效 抵御 网 络 攻 击 , 同 时 保持 其 
易 用 性 。 

IPSec 的 目标 是 为 IP 提供 可 互 操作 的 、 高 质量 的 、 基 于 密码 学 的 一 整套 安全 服务 ,其 中 
包括 访问 控制 .无 连接 完整 性 、 数 据 源 验证 、 抗 重 放 攻 击 、 机 密 性 和 有 限 的 流量 保密 。 这 些 服 
务 都 在 IP 层 提供 ,可 以 为 IP 和 其 上 层 协 议 提 供 保 护 。 

IPSec 协议 不 是 一 个 单独 的 协议 , 它 由 一 系列 协议 组 成 ,包括 网 络 认证 协议 AH( 也 称 认 
证 报头 ) .封装 安全 载荷 协议 ESP、 密 钥 管 理 协议 IKE 和 用 于 网 络 认 证 及 加 密 的 一 些 算法 
等 。 其 中 AH 协议 定义 了 认证 的 应 用 方法 ,提供 数据 源 认 证 和 完整 性 保证 ; ESP 协议 定义 
了 加 密 和 可 选 认证 的 应 用 方法 ,提供 可 靠 性 保证 。 在 实际 进行 IP 通信 时 ,可 以 根据 实际 的 
安全 需求 同时 使 用 这 两 种 协议 或 选择 使 用 其 中 的 一 种 。AH 和 ESP 都 可 以 提供 认证 服务 ， 
但 是 AH 提供 的 认证 服务 要 强 于 ESP。IPSec 规定 了 如 何在 对 等 层 之 间 选 择 安全 协议 、 确 
定安 全 算法 和 密 钥 交 换 , 向 上 层 提 供 访 问 控制 ,数据 源 认 证 .数据 加 密 等 网 络 安全 服务 。 
IPSec 可 应 用 于 虚拟 专用 网 络 (VPN) 、 应 用 级 安全 以 及 路 由 安全 三 个 不 同 的 领域 ,但 目前 主 
要 用 于 VPN。 

IPSec 既 可 以 作为 一 个 完整 的 VPN 方案 ,也 可 以 与 其 他 协议 配合 使 用 ,如 PPTP 和 
L2TP。 它 工作 在 IP 层 ( 网 络 层 ) ,为 IP 层 提供 安全 性 ,并 可 为 上 一 层 应 用 提供 一 个 安全 的 
网 络 连接 ,以 及 基于 一 种 端 到 端的 安全 模式 。 由 于 所 有 支持 TCP/IP 协议 的 主机 在 进行 通 
信和 时 ,都 要 经 过 IP 层 的 处 理 , 所 以 提供 了 IP 层 的 安全 性 就 相当 于 为 整个 网 络 提供 了 安全 通 
信 的 基础 。 鉴 于 IPv4 的 应 用 仍然 很 广泛 ,所 以 后 来 在 IPSec 的 制定 中 也 增加 了 对 IPv4 的 
支持 。 

IPSec 可 用 于 IPv4 和 IPv6 环境 。 它 有 两 种 工作 模式 : 一 种 是 隧道 模式 ; 另 一 种 是 传 
输 模式 。 在 隧道 模式 中 ,整个 IP 数据 包 被 加 密 或 认证 ,成 为 一 个 新 的 更 大 的 IP 包 的 数据 部 
分 ,该 IP 包 有 新 的 IP 报头 ,还 增加 了 IPSec 报头 。 在 传输 模式 中 ,只 对 IP 数据 包 的 有 效 负 
载 进 行 加 密 或 认证 ,此 时 继续 使 用 原始 IP 头 部 。 隧 道 模式 主要 用 在 网 关 和 代理 上 ,IPSec 
服务 由 中 间 系 统 实现 , 端 结 点 并 不 知道 使 用 了 IPSec。 在 传输 模式 中 ,两 个 端 结 点 必须 都 实 
现 IPSec, 而 中 间 系 统 不 对 数据 包 进 行 任何 IPSec 处 理 。 

通信 双方 如 果 要 用 IPSec 建立 一 条 安全 的 传输 通道 ,需要 事先 协商 好 将 要 采用 的 安全 
策略 ,包括 加 密 机 制 和 完整 性 验证 机 制 及 其 使 用 的 算法 、 密 钥 、 生 成 期 限 等 。 一 旦 发 收 双 方 
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协商 好 使 用 的 安全 策略 , 即 可 认为 双方 (两 台 计算 机 ) 之 间 建 立 了 一 个 安全 关联 (Security 
Association,SA) 。 

IETF 已 经 建立 了 一 个 安全 关联 和 密 钥 交 换 方案 的 标准 方法 , 它 将 Internet 安全 关联 和 
密 钥 管理 协议 (ISAKMP) 以 及 Oakley 密 钥 生成 协议 进行 了 合并 。ISAKMP 集中 了 安全 关 
联 管理 ,减少 了 连接 时 间 。Oakley 生成 并 管理 用 来 保护 信息 的 身份 验证 密 钥 。 为 保证 通信 
的 成 功 和 安全 ,ISAKMP/Oakley 执行 密 钥 交换 和 数据 保护 两 个 阶段 的 操作 。 通 过 使 用 在 

台 计 算 机 上 协商 并 达成 一 致 的 加 密 和 身份 验证 算法 来 保证 机 密 性 和 身份 验证 。 

2) IPSec 中 加 密 与 完整 性 验证 

IPSec 可 对 数据 进行 加 密 和 完整 性 验证 。 其 中 ,AH 协议 只 能 用 于 对 数据 包 的 包头 进 
行 完整 性 验证 ,而 ESP 协议 可 用 于 对 数据 的 加 密 和 完整 性 进行 验证 。 

IPSec 的 认证 机 制 使 IP 通信 的 数据 接收 方 能 够 确认 数据 发 送 方 的 真实 身份 以 及 数据 
在 传输 的 过 程 中 是 否 遭 到 算 改 。IPSec 的 加 密 机 制 通过 对 数据 进行 编码 来 保证 数据 的 机 密 
性 ,以 防 数据 在 传输 过 程 中 被 窃听 。 为 了 进行 加 密 和 认证 ,IPSec 还 需要 有 密 钥 的 管理 和 交 
换 功 能 ,以 便 为 加 密 和 认证 提供 所 需要 的 密 钥 并 对 密 钥 的 使 用 进行 管理 。 以 上 三 方面 的 工 
作 分 别 由 AH、ESP 和 IKE 三 个 协议 规定 。 

(1) 安全 关联 SA。 

IPSec 中 一 个 重要 的 概念 就 是 安全 关联 SA ,所 谓 安全 关联 是 指 安 全 服务 与 它 服务 的 载 
体 之 间 的 一 个 “连接 ”, 即 是 能 为 双方 之 间 的 数据 传输 提供 某 种 IPSec 安全 保障 的 一 个 简单 
连接 。SA 可 以 看 成 是 两 个 IPSec 对 等 端 之 间 的 一 条 安全 隧道 。SA 是 策略 和 密 钥 的 结合 ， 
它 定义 用 来 保护 端 到 端 通 信 的 常规 安全 服务 .机制 和 密 钥 。SA 可 由 AH 或 ESP 提供 , 当 给 
定 了 一 个 SA 时 ,就 确定 了 IPSec 要 执行 的 处 理 。 

在 SA 中 ,两 台 计 算 机 在 如 何 交换 和 保护 信息 方面 达成 一 致 。 可 为 不 同类 型 的 流量 创 
建 独立 的 SA ,而 一 台 计 算 机 与 多 台 计 算 机 同时 进行 安全 通信 时 可 能 存在 多 种 关联 ,这 种 情 
况 经 常 发 生 在 当 计 算 机 用 作文 件 服务 器 或 向 多 个 客户 提供 服务 的 远程 访问 服务 器 的 时 候 。 
一 台 计 算 机 也 可 以 与 另 一 台 计 算 机 有 多 个 SA, 例 如 在 两 台 主机 之 间 为 TCP 建立 独立 的 
SA, 并 在 同样 的 两 台 主 机 之 间 建 立 另 一 条 支持 UDP 的 SA, 甚至 可 以 为 每 个 TCP 或 UDP 
端口 建立 分 离 的 SA 。 

(2) 认证 协议 AH。 

IPSec 认证 协议 (AH ) 为 整个 数据 包 提供 身份 认证 .数据 完整 性 验证 和 抗 重 放 服 务 。 
AH 通过 一 个 只 有 密 钥 持 有 人 才 知 道 的 “数字 签名 "来 对 用 户 进行 认证 。 这 个 签名 是 数据 包 
通过 特别 的 算法 得 出 的 独特 结果 。AH 还 能 维持 数据 的 完整 性 ,因为 在 传输 过 程 中 无 论 多 
小 的 变化 被 加 载 ,数据 包头 的 数字 签名 都 能 把 它 检测 出 来 。 两 个 最 常用 的 AH 标准 是 MD5 
和 SHA-1,MD5 使 用 最 多 达 128 位 的 密 钥 ,而 SHA-1 通过 最 多 达 160 位 的 密 钥 提供 更 强 的 
保护 。 重 放 攻 击 是 通过 采用 单调 递增 序列 号 来 预防 的 。 

AH 协议 为 IP 通信 提供 数据 源 认 证 和 数据 完整 性 验证 , 它 能 保护 通信 和 免 受 算 改 ,但 并 
不 加 密 传输 内 容 ,不 能 防止 窃听 。AH 联合 数据 完整 性 保护 并 在 发 送 接 收 端 使 用 共享 密 钥 
来 保证 身份 的 真实 性 。 使 用 Hash 算法 在 每 一 个 数据 包 上 添加 一 个 身份 验证 报头 来 实现 数 
据 完整 性 验证 。 验 证 过 程 中 需要 预约 好 收发 两 端的 Hash 算法 和 共享 密 钥 。 

为 了 建立 IPSec 通信 ,两 台 主 机 在 SA 协定 之 前 必须 互相 认证 。 有 Kerberos、PKI 和 预 





共享 密 钥 三 种 认证 方法 。Kerberos 能 在 域内 进行 安全 协议 认证 ,使 用 时 , 它 既 对 用 户 的 身 
份 也 对 网 络 服 务 进 行 验证 。 公 和 钥 证 书 (PKD 用 来 对 非 受信 域 的 成 员 、 非 Windows 客户 或 没 
有 运行 Kerberos V5 认证 协议 的 计算 机 进行 认证 ,认证 证 书 由 一 个 证 书 机 关系 统 签署 。 在 
预先 共享 密 钥 认 证 中 ,网络 系统 必须 认同 在 IPSec 策略 中 使 用 的 一 个 共享 密 钥 ,使 用 预先 共 
享 密 钥 仅 在 证 书 和 Kerberos 无 法 配置 的 场合 。 

(3) 封装 安全 载荷 协议 ESP。 

封装 安全 载荷 协议 (ESP) 通 过 对 数据 包 的 全 部 数据 和 加 载 内 容 进 行 加 密 来 保证 传输 信 
息 的 机 密 性 ,这样 可 以 避免 其 他 用 户 通 过 监听 打开 信息 交换 的 内 容 , 因 为 只 有 受信 任 的 用 户 
才 拥 有 密 钥 可 以 打开 内 容 。 此 外 ,ESP 也 能 提供 身份 认证 .数据 完整 性 验证 和 防止 重 发 。 
在 隧道 模式 中 ,整个 IP 数据 报 都 在 ESP 负载 中 进行 封装 和 加 密 。 当 该 过 程 完 成 以 后 ,真正 
的 IP 源 地 址 和 目的 地 址 都 可 以 被 隐藏 为 Internet 发 送 的 普通 数据 。 这 种 模式 的 一 种 典型 
用 法 就 是 在 防火 墙 与 防火 墙 之 间 通 过 VPN 的 连接 进行 主机 或 拓扑 隐藏 。 在 传输 模式 中 ， 
只 有 更 高 层 协 议 帧 (TCP、UDP、ICMP 等 ) 被 放 到 加 密 后 的 IP 数据 报 的 ESP 负载 部 分 。 在 
这 种 模式 中 ,IP 源 地 址 和 目的 地 址 以 及 所 有 的 IP 包头 域 都 是 不 加 密 发 送 的 。 

ESP 主要 使 用 DES 或 3DES 加 密 算法 为 数据 包 提 供 机 密 性 。ESP 报头 提供 集成 功能 
和 IP 数据 的 可 靠 性 。 集 成 功能 保证 了 数据 没有 被 黑客 恶意 破坏 ,可靠 性 保证 使 用 密码 技术 
的 安全 。 对 IPv4 和 IPv6,ESP 报头 都 列 在 其 他 IP 报头 的 后 面 。ESP 编码 只 有 在 不 被 任何 
IP 报头 扰乱 的 情况 下 才能 正确 地 发 送 包 。 





习题 和 思考 题 
-、 简 答题 
. 简 述 密码 学 的 两 方面 的 含义 。 
. 什么 是 加 密 ,解密 、 密 钥 和 密码 算法 ? 


1 
2 
3. 何 为 移 位 密码 和 替代 密码 ? 举例 说 明 。 
4. 简 述 对 称 密 钥 密码 和 非 对称 密 钥 密码 体制 。 
5. 简 述 DES 算法 。 
6. 什么 是 端 到 端 加 密 ? 
7. 简 述 数字 签名 的 概念 及 其 功能 。 
8. 简 述 数字 证 书 的 功能 和 应 用 。 
9. IPSec 的 主要 作用 是 什么 ? 

10. SSL 和 SSH 协议 各 提供 哪些 主要 服务 ? 

二 、 填空 题 

1. 密码 学 包括 ( ) 和 ( ) 两 部 分 。 其 中 ,( ) 研 究 的 是 通过 ( ) 来 改变 被 保 
护 信息 的 形式 ,使 得 编码 后 的 信息 除 合法 用 户 之 外 的 其 他 人 都 不 可 理解 ; ) 研 究 的 是 
如 何 ( ) 密 码 ,恢复 被 隐藏 起 来 的 信息 。( ) 是 实现 对 信息 加 密 的 ,( ) 是 实现 对 信 
息 解密 的 。 

2. 20 世纪 70 年 代 , 密 码 学 的 两 大 著名 算法 分 别 是 ( ) 和 ( )s 

3. 把 明文 变换 成 密 文 的 过 程 称 为 ( ) ; 解密 过 程 是 利用 解密 密 钥 ,对 ( ) 按 照 解 
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密 算法 规则 变换 ,得 到 ( ) 的 过 程 。 

4. 典型 的 对 称 密 钥 密码 算法 有 ( yt ) 和 ( ) 等 。 

5. 典型 的 非 对 称 密 钥 密码 算法 有 ( jt ) 和 ( ) 等 。 

6. 在 密码 算法 公开 的 情况 下 .密码 系统 的 保密 强度 基本 上 取决 于 ( Ws 

7. IDEA 是 ( ) 密 码 体制 的 算法 。 它 使 用 ( ) 位 密 钥 可 对 ( ) 位 的 分 组 进行 
加 密 和 解密 。 

8. DES 的 加 密 和 解密 时 使 用 的 密 钥 顺序 是 ( )5 

9. 对 称 加 密 体制 比 非 对 称 加 密 体 制 具有 ( ) 的 优点 。 

10. 广泛 应 用 的 数字 签名 的 主要 算法 有 Ji ) 和 ( js 

11. 通过 数字 签名 和 数字 证 书 技术 可 实现 交易 的 ( ) 性 。 

12. IP 安全 协议 (IPSec) 是 一 个 网 络 安全 协议 标准 ,其 主要 功能 是 为 IP 通信 提供 )， 
保护 TCP/IP 通信 和 免 遭 ( ) ,有 效 抵御 ( ) ,同时 保持 其 易 用 性 。 

13. IPSec 是 由 ( jt Yat ) 和 用 于 网 络 认 证 及 加 密 的 一 些 算法 组 成 的 系列 
协议 。 

14. IPSec 可 用 于 IPv4 和 ( ) 环 境 , 它 有 ( ) 和 ( ) 两 种 工作 模式 。 

15. IPSec 可 对 数据 进行 ( )。AH 协议 用 于 ( ) ,ESP 协议 用 于 ( js 

16. SSL 协议 是 一 种 在 客户 端 和 服务 器 端 之 间 建 立 ( ) 的 协议 ,已 被 广泛 用 于 Web 
浏览 器 与 服务 器 之 间 的 ( ) 和 ( ys 

17. SSH 协议 是 建立 在 应 用 层 和 传输 层 基础 上 的 、 具 有 易于 使 用 、( ) 和 ( ) 好 等 
优点 ,是 一 种 在 不 安全 网 络 上 提供 ( ) 及 其 他 安全 网 络 服务 的 协议 。 

18. SSH 协议 主要 由 ( ) 协 议 、( ) 协 议和 ( ) 协 议 三 部 分 组 成 ,共同 实现 
SSH 的 保密 功能 。 

19. SSH 协议 分 为 ( ) 和 ( ) 两 部 分 。 服 务 器 端 提供 对 远程 连接 的 处 理 , 一 般 包 
括 ( i yt ) 和 非 安全 连接 。 在 客户 端 ,SSH 提供 基于 ( ) 和 基于 ( ) 的 
两 种 级 别 的 安全 验证 。 


三 、 单 项 选择 题 
1. 最 著名 ,应 用 最 广泛 的 非 对 称 密码 算法 是 (  ), 它 的 安全 性 是 基于 大 整数 因子 分 
解 的 困难 性 。 
A. DES B. RSA C. 3DES D. DSA 
2. 最 典型 的 对 称 密 钥 密码 算法 是 (  ), 它 是 用 56 位 密 钥 对 64 位 明文 进行 加 密 的 。 
A. DES B. RSA C. 3DES D. DSA 


3. 在 加 密 时 将 明文 中 的 每 个 或 每 组 字符 由 另 一 个 或 另 一 组 字符 所 替换 , 原 字 符 被 隐藏 
起 来 ,这 种 密码 称 为 (  )。 


A. 移 位 密码 B. 分 组 密码 C. 替代 密码 D. 序列 密码 
4. 加 密 密 钥 和 解密 密 钥 相同 或 相近 ,这 样 的 密码 系统 称 为 ( ) 系 统 。 
A. 公 钥 密码 B. 分 组 密码 C. 对 称 密 钥 D. 非 对 称 密 钥 


5. DES 算 法 一 次 可 用 56 位 密 钥 组 对 ( “) 位 明文 组 数据 进行 加 密 。 
A 32 B. 48 C. 64 D. 128 


6. 以 下 ( ) 项 不 是 数字 证 书 技术 实现 的 目标 。 


A. 数据 保密 性 B. 信息 完整 性 C. 身份 验证 D. 系统 可 靠 性 
7. 以 下 ( ) 项 要 求 不 是 数字 签名 技术 可 完成 的 目标 。 

A. 数据 保密 性 B. 信息 完整 性 C. 身份 验证 D. 防止 交易 抵赖 
8. 使 用 数字 证 书 可 实现 ( Ds 

A. 数据 加 密 B. 保护 信息 完整 ”C. 防止 交易 抵赖 ”DD. A、B、C 都 对 
9. IPSec 服务 可 提供 ( )s 

A. 非 否认 服务 功能 B. 证 书 服务 功能 

C. 数据 完整 性 服务 功能 D. 加 密 和 认证 服务 功能 


10. IPSec 是 由 AH、ESP、IKE 和 用 于 网 络 认证 及 加 密 的 一 些 算法 组 成 的 系列 协议 。 
密 钥 的 管理 和 交换 功能 是 由 ( ) 提 供 的 。 


A. AH B. ESP C. IKE D. PKI 
11. SSL 协议 提供 在 客户 端 和 服务 器 之 间 的 ( he 
A. 远程 登录 B. 安全 通信 C. 密 钥 安全 认证 ”D. 非 安 全 连接 
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第 6 章 网 络 攻防 技术 


本 章 要 点 

。 防火 墙 安全 ; 

。 网 络 病毒 与 防范 ; 

。 木马 攻击 与 防范 ; 

。 网 络 攻 击 与 防范 ; 

。 网 络 扫描 监听 和 检测 ; 
。 虚拟 专用 网 。 


在 当今 这 个 信息 时 代 , 几 乎 每 个 人 所 使 用 的 系统 都 面临 着 安全 威胁 ,都 有 必要 对 网 络 安 
全 有 所 了 解 ,并 能 够 处 理 一 些 安全 方面 的 问题 。 那 些 平时 不 注意 网 络 系统 安全 的 人 ,往往 在 
受到 安全 方面 的 攻击 并 付出 惨重 的 代价 后 才 会 后 悔 不 已 。 

前 述 各 章 介绍 的 网 络 操作 系统 安全 、 网 络 实体 安全 、\ 网 络 数据 库 安 全 \ 数 据 备份 和 加 密 、 
数字 签名 和 身份 认证 等 大 部 分 都 是 安全 防护 方面 的 内 容 。 安 全 防护 可 以 预防 和 避免 大 多 数 
的 不 安全 事件 ,但 不 能 阻止 所 有 的 不 安全 事件 ,特别 是 像 病毒 和 黑客 等 利用 系统 缺陷 人 侵 网 
络 系统 的 事件 。 一 旦 病毒 或 黑客 侵入 网 络 系统 ,网 络 管理 员 就 要 根据 入 侵 事 件 的 特征 对 系 
统 进行 人 侵 检测 ,或 使 用 相关 的 软件 工具 对 系统 进行 安全 扫描 和 监听 ,一 旦 发 现 人 侵 者 的 行 
为 ,就 及 时 采取 措施 清除 入 侵 的 危害 和 进行 恢复 处 理 。 

本 章 将 介绍 防火 墙 安全 技术 、 网 络 病毒 与 防范 .黑客 及 网 络 攻击 、 网 络 人 侵 检 测 系统 等 
网 络 攻击 与 防范 方面 的 内 容 。 





6.1 防火 墙 安 全 


随 着 网 络 技 术 的 发 展 ,特别 是 Internet 的 迅猛 发 展 , 越 来 越 多 的 局 域 网 (企业 网 络 ) 接 入 
Internet。 人 们 在 享受 Internet 所 带 来 的 便利 的 同时 ,也 越 来 越 多 地 感受 到 网 络 信 息 安全 所 
受到 的 威胁 。 信 息 泄密 事件 、 主 页 被 自 改 事件 .拒绝 服 务 事件 等 层出不穷 ,为 了 解决 这 些 问 
题 ,最 大 程度 上 保护 网 络 的 安全 ,人 们 研究 了 很 多 技术 和 方法 ,其 中 防火 墙 (Firewall) 技 术 
就 是 其 中 一 种 典型 的 技术 。 


6.1.1 防火 墙 概述 


为 了 保护 网 络 (特别 是 企业 内 部 网 Intranet) 资 源 的 安全 ,人 们 创建 了 防火 墙 。 就 像 建 
筑 物 防护 墙 能 够 保护 建筑 物 及 其 内 部 资源 的 安全 或 护城河 能 够 保护 城市 免 受 侵害 一 样 , 防 





火 墙 能 够 防止 外 部 网 上 的 各 种 危害 侵入 到 内 部 网 络 。 目 前 ,防火 墙 已 在 Internet 上 得 到 了 
广泛 的 应 用 ,并 逐步 在 Internet 之 外 得 到 应 用 。 

1. 防火 墙 的 概念 及 作用 

防火 墙 是 隔离 在 本 地 网 络 与 外 界 网 络 之 间 的 执行 访问 控制 策略 的 一 道 防御 系统 ,是 一 
组 由 软 、 硬 件 设备 构成 的 安全 设施 ,其 功能 示意 如 图 6. 1. 1 所 示 。 防 火 墙 可 防止 发 生 不 可 预 
测 的 、 外 界 对 内 部 网 资源 的 非法 访问 或 潜在 的 破坏 性 侵入 。 在 Internet 上 防火 墙 是 一 种 非 
常 有 效 的 网 络 安全 措施 ,通过 它 可 以 隔离 风险 区 域 (Internet 或 有 一 定 风险 的 网 络 ) 与 安全 
区 域 (企业 内 部 网 ,也 可 称 为 可 信任 网 络 ) 的 连接 ,是 不 同 网 络 或 网 络 安全 区 域 之 间 信 息 的 唯 
一 出 入 口 ,能 根据 企业 的 安全 政策 控制 出 入 网 络 的 信息 流 , 从 而 有 效 地 控制 内 部 网 和 外 部 网 
之 间 的 信息 传输 。 
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图 6.1.1 防火 墙 功能 示意 图 


防火 墙 可 由 计算 机 硬件 和 软件 系统 组 成 。 通 常情 况 下 ,内 部 网 和 外 部 网 进行 互联 时 , 必 
须 使 用 一 个 中 间 设 备 ,这 个 设备 既 可 以 是 专门 的 互联 设备 (如 路 由 器 或 网 关 ) ,也 可 以 是 网 络 
中 的 某 个 结 点 (如 一 台 主 机 )。 这 个 设备 至 少 具有 两 条 物理 链 路 ,一 条 通 往外 部 网 络 ,一 条 通 
往 内 部 网 络 。 企 业 用 户 希 望 与 其 他 用 户 通信 时 ,信息 必须 经 过 该 设备 ,同样 ,其 他 用 户 希 望 
访问 企业 网 时 ,也 必须 经 过 该 设备 。 显 然 , 该 设备 是 阻挡 攻击 者 入 侵 的 关口 ,也 是 防火 墙 实 
施 的 理想 位 置 , 如 图 6.1.2 所 示 。 在 逻辑 上 ,防火 墙 就 是 一 个 分 离 器 、 限 制 器 ,可 有 效 地 监控 
内 部 网 和 外 部 网 之 间 的 任何 活动 ,保证 内 部 网 的 安全 。 

防火 墙 的 作用 是 防止 不 希望 的 、 未 经 授权 的 通信 进出 被 保护 的 网 络 。 它 可 使 企业 强化 
自己 的 网 络 安 全 策略 ,是 网 络 安 全 的 屏障 。 从 图 6. 1.2 可 知 防火 墙 不 仅 能 对 外 部 网 进入 内 
部 网 的 信息 进行 过 滤 ,对 于 从 内 部 网 出 去 的 信息 也 是 有 过 滤 的 功能 。 

2. 防火 墙 的 不 足 

防火 墙 虽然 是 用 于 保护 网 络 安全 的 设施 ,但 它 本 身 也 存在 一 些 功能 上 的 不 足 。 

(1) 网 络 瓶 颈 。 由 于 防火 墙 是 配置 在 两 个 网 络 之 间 的 ,如 果 两 网 之 间 没 有 其 他 的 信息 
通路 , 则 所 有 信息 都 必须 经 过 防火 墙 的 过 滤 。 这 样 , 当 信息 到 达 防 火 墙 时 必须 过 “过 滤 关 ”， 
因此 可 能 会 造成 网 络 信息 的 延迟 ,形成 网 络 瓶颈 。 

(2) 不 能 防范 绕 过 防火 墙 的 信息 攻击 。 防 火 墙 之 所 以 能 够 过 滤 攻 击 信息 ,就 是 因为 其 
能 够 检查 和 过 滤 信息 的 源 。 如 果 有 能 够 绕 过 防火 墙 的 信息 ,防火 墙 就 不 能 防范 。 

(3) 不 能 防范 病毒 的 传播 。 防 火 墙 虽然 能 扫描 所 有 通过 的 信息 ,以 决定 是 否 允 许 它们 
进入 内 部 网 络 ,但 扫描 是 针对 源 、 目 标 地 址 和 端口 号 的 ,其 并 不 扫描 数据 的 确切 内 容 。 因 为 
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图 6.1.2 防火 墙 的 位 置 示意 图 


在 网 络 上 传输 二 进 制 文件 的 编码 方式 很 多 .并且 有 太 多 的 不 同 结构 的 病毒 ,因此 防火 墙 不 可 
能 查找 所 有 的 病毒 ,也 不 能 有 效 地 防范 像 病 毒 这 类 程序 的 入 侵 。 

(4) 不 能 防范 内 部 人 员 的 攻击 。 对 于 一 个 企业 内 部 局 域 网 而 言 ,内 部 人 员 如 果 要 攻击 
其 某 台 主机 ,防火 墙 是 无 能 为 力 的 ,因为 在 这 种 情形 下 .攻击 信息 并 没有 流 经 防火 墙 。 

3. 防火 墙 的 特征 

(1) 内 部 网 和 外 部 网 之 间 的 所 有 网 络 数据 流 都 必须 经 过 防火 墙 。 这 是 防火 墙 所 处 网 络 
位 置 的 特性 ,同时 也 是 一 个 前 提 。 因 为 只 有 当 防 火 墙 是 内 、 外 部 网 络 之 间 通 信 的 唯一 通道 
时 , 才 可 以 有 效 地 保护 企业 内 部 网 络 不 受 侵害 。 

(2) 只 有 符合 安全 策略 的 数据 才能 通过 防火 墙 。 防 火 墙 就 是 要 确保 网 络 流量 的 合法 

性 ,只 有 在 符合 策略 的 前 提 下 才能 将 网 络 的 流量 快速 地 从 一 条 链 路 转发 到 另外 的 链 路 上 。 

(3) 自身 具有 非常 强 的 抗 攻 击 力 。 由 于 防火 墙 处 于 网 络 边缘 ,时 刻 要 面 对 黑 客 的 攻击 
和 入 侵 ,这 就 要 求 防火 墙 自身 要 具有 非常 强 的 抗 攻击 能 力 。 只 有 自身 具有 较 高 的 安全 性 才 
能 保证 内 部 网 络 的 安全 。 


6.1.2 防火 墙 技术 


防火 墙 技术 是 建立 在 现代 通信 网 络 技术 和 信息 安全 技术 基础 上 的 应 用 性 安全 技术 , 越 
来 越 多 地 被 应 用 于 专用 网 络 与 公用 网 络 的 互联 环境 中 。 防 火 墙 可 通过 监测 、 控 制 跨越 防火 
墙 的 数据 流 , 尽 可 能 地 对 外 界 屏蔽 内 部 网 络 的 信息 、 结 构 和 运行 状况 ,以 此 来 实现 对 内 部 网 
络 的 安全 保护 。 

常用 的 防火 墙 技术 有 包 过 滤 技 术 、 代 理 服务 技术 、 状 态 检 测 技术 和 自 适应 代理 技术 。 通 
常 也 可 将 其 中 几 种 防火 墙 技术 组 合 在 一 起 使 用 以 弥补 各 自 的 缺陷 ,增加 系统 的 安全 性 能 。 


1. 包 过 滤 技 术 

包 过 滤 (Packet Filtering) 技 术 应 用 于 OSI 参考 模 型 的 网 络 层 。 该 技术 根据 网 络 层 和 传 
输 层 的 原则 对 传输 的 信息 进行 过 滤 。 因 此 ,利用 包 过 滤 技 术 在 网 络 层 实现 的 防火 墙 也 叫 包 
过 滤 防 火 墙 。 

包 过 滤 技 术 在 网 络 的 出 人口 (如 路 由 器 ) 对 通过 的 数据 包 进行 检查 和 选择 。 选 择 的 依据 
是 系统 内 设置 的 过 滤 逻 辑 ( 包 过 滤 规 则 )。 通 过 检查 数据 流 中 每 个 数据 包 的 源 地 址 、 目 的 地 
址 、 所 用 的 端口 号 ,协议 状态 或 它们 的 组 合 , 来 确定 是 否 允 许 该 数据 包 通 过 。 通 过 检查 ,只 有 
满足 条 件 的 数据 包 才 允 许 通过 ,否则 被 抛弃 (过 滤 掉 )。 如 果 防火 墙 中 设 定 某 一 IP 地 址 的 站 
点 为 不 适宜 访问 的 站 点 , 则 从 该 站 点 地 址 来 的 所 有 信息 都 会 被 防火 墙 过 滤 掉 。 这 样 可 以 有 
效 地 防止 恶意 用 户 利 用 不 安全 的 服务 对 内 部 网 进行 攻击 。 包 过 滤 防 火 墙 遵循 的 一 条 基本 原 
则 就 是 “最 小 特权 原则 ”, 即 明确 允许 管理 员 希 望 通过 的 那些 数据 包 ,禁止 其 他 的 数据 包 。 

在 网 络 上 传输 的 每 个 数据 包 都 可 分 为 数据 和 包头 两 部 分 。 包 过 滤器 就 是 根据 包头 信息 
来 判断 该 包 是 否 符 合 网 络 管理 员 设 定 的 规则 表 中 的 规则 ,以 确定 是 否 允 许 数 据 包 通过 。 包 
过 滤 规 则 一 般 是 基于 部 分 或 全 部 报头 信息 的 .如 IP 协议 类 型 .IP 源 地 址 、IP 选择 域 的 内 容 、 
TCP 源 端口 号 TCP 目标 端口 号 等 。 例 如 , 包 过 滤 防 火 墙 可 以 对 来 自 特定 的 Internet 地 址 
信息 进行 过 滤 , 或 者 只 允许 来 自 特定 地 址 的 信息 通过 。 如 果 将 过 滤器 设置 成 只 允许 数据 包 
通过 TCP 端口 80( 标 准 的 HTTP 端口 ) ,那么 在 其 他 端口 ,如 端口 25( 标 准 的 SMTP 端口 ) 
上 的 服务 程序 的 数据 包 就 不 能 通过 。 

包 过 滤 防 火 墙 既 可 以 允许 授权 的 服务 程序 和 主机 直接 访问 内 部 网 络 , 也 可 以 过 滤 指 定 
的 端口 和 内 部 用 户 的 Internet 地 址 信息 。 大 多 数 包 过 滤 防 火 墙 的 功能 可 以 设置 在 内 部 网 络 
与 外 部 网 络 之 间 的 路 由 器 上 ,作为 第 一 道 安全 防线 。 路 由 器 是 内 部 网 络 与 Internet 连接 必 
不 可 少 的 设备 ,在原 有 网 络 上 增加 这 样 的 防火 墙 软件 几乎 不 需要 花费 任何 额外 的 费用 。 

2. 代理 服务 技术 

代理 服务 器 防火 墙 工 作 在 OSI 模型 的 应 用 层 , 它 掌握 着 应 用 系统 中 可 用 作 安 全 决策 的 
全 部 信息 ,因此 ,代理 服务 器 防火 墙 又 称 应 用 层 网 关 。 这 种 防火 墙 通过 一 种 代理 (Proxy) 技 
术 参 与 到 一 个 TCP 连接 的 全 过 程 。 

代理 服务 器 是 指 代 表 客 户 处 理 在 服务 器 连接 请 求 的 程序 。 当 代理 服务 器 得 到 一 个 客户 
的 连接 请 求 时 ,对 客户 的 请 求 进行 核实 ,并 经 过 特定 的 安全 化 Proxy 应 用 程序 处 理 连接 请 
求 , 将 处 理 后 的 请 求 传递 到 真正 的 Internet 服务 器 上 ,然后 接收 服务 器 应 答 。 代 理 服 务 器 对 
真正 服务 器 的 应 答 做 进一步 处 理 后 ,将 答复 交 给 发 出 请 求 的 终端 客户 。 代 理 服务 器 通常 运 
行 在 两 个 网 络 之 间 , 它 对 于 客户 来 说 像 是 一 台 真 的 服务 器 ,而 对 于 外 部 网 的 服务 器 来 说 , 它 
又 似 一 台 客户 机 。 代 理 服 务 器 并 非 将 用 户 的 全 部 网 络 请 求 都 提交 给 Internet 上 的 真正 服务 
器 ,而 是 先 依据 安全 规则 和 用 户 的 请 求 做 出 判断 ,是 否 代理 执行 该 请 求 , 有 的 请 求 可 能 会 被 
否决 。 当 用 户 提供 了 正确 的 身份 及 认证 信息 后 ,代理 服务 器 建立 与 外 部 Internet 服务 器 的 
连接 ,为 两 个 通信 点 充当 中 继 。 内 部 网 络 只 接收 代理 服务 器 提出 的 要 求 ,拒绝 外 部 网 络 的 直 
接 请 求 。 代 理 服务 器 的 工作 示意 图 如 图 6. 1. 3 所 示 。 

一 个 代理 服务 器 本 质 上 就 是 一 个 应 用 层 网 关 , 即 一 个 为 特定 网 络 应 用 而 连接 两 个 网 络 
的 网 关 。 代 理 服 务 器 像 一 堵 墙 一 样 挡 在 内 部 用 户 和 外 部 系统 之 间 ,分别 与 内 部 和 外 部 系统 
连接 ,是 内 部 网 与 外 部 网 的 隔离 点 ,起 着 监视 和 隔绝 应 用 层 通 信 流 的 作用 。 从 外 部 只 能 看 到 
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图 6.1.3 代理 服务 器 的 工作 示意 图 


该 代理 服务 器 而 无 法 获知 任何 的 内 部 资源 (如 用 户 的 IP 地 址 ) 。 

代理 服务 可 以 实现 用 户 认证 、 详 细 日 志 、 审 计 跟 踪 和 数据 加 密 等 功能 ,并 实现 对 具体 协 
议 及 应 用 的 过 滤 ,如 阻塞 Java 或 JavaScript。 代 理 服务 技术 能 完全 控制 网 络 信息 的 交换 , 控 
制 会 话 过 程 ,具有 灵活 性 和 安全 性 。 但 可 能 会 影响 网 络 的 性 能 ,对 用 户 不 透明 , 且 对 每 一 种 
服务 器 都 要 设计 一 个 代理 模块 ,建立 对 应 的 网 关 层 ,实现 起 来 比较 复杂 。 

3. 状态 检测 技术 

状态 检测 (Stateful Inspection) 技术 由 Check Point 率先 提出 ,又 称 动态 包 过 滤 技 术 。 
状态 检测 技术 是 新 一 代 的 防火 墙 技术 。 这 种 技术 具有 非常 好 的 安全 特性 , 它 使 用 了 一 个 在 
网 关上 执行 网 络 安全 策略 的 软件 模块 , 称 之 为 检测 引擎 。 检 测 引 擎 支持 多 种 协议 和 应 用 程 
序 ,并 可 以 很 容易 地 实现 应 用 和 服务 的 扩充 。 

与 前 文 介绍 的 两 种 防火 墙 不 同 , 当 用 户 的 访问 请 求 到 达 网 关 的 操作 系统 前 ,状态 监视 器 
要 收集 有 关 数 据 进行 分 析 ,结合 网 络 配置 和 安全 规定 做 出 接纳 或 拒绝 .身份 认证 报警 处 理 
等 动作 。 一 旦 某 个 访问 违反 了 安全 规定 ,该 访问 就 会 被 拒绝 ,并 报告 有 关 状 态 , 作 日 志 记录 。 

状态 检测 技术 监视 和 跟踪 每 一 个 有 效 连 接 的 状态 ,并 根据 这 些 信息 决定 网 络 数据 包 是 
和 否 能 通过 防火 墙 。 它 在 协议 栈 底层 截取 数据 包 , 然 后 分 析 这 些 数据 包 ,并 且 将 当前 数据 包 和 
状态 信息 与 前 一 时 刻 的 数据 包 和 状态 信息 进行 比较 ,从 而 得 到 该 数据 包 的 控制 信息 ,来 达到 
保护 网 络 安全 的 目的 。 

状态 检测 技术 试图 跟踪 通过 防火 墙 的 网 络 连接 和 包 , 这 样 它 就 可 以 使 用 一 组 附加 的 标 
准 , 以 确定 是 否 允 许 和 拒绝 通信 。 状 态 检测 防火 墙 是 在 使 用 了 基本 包 过 滤 防 火 墙 的 通信 上 
应 用 一 些 技术 来 做 到 这 一 点 的 。 为 了 跟踪 包 的 状态 ,状态 检测 防火 墙 不 仅 跟踪 包 中 包含 的 
信息 ,还 记录 有 用 的 信息 以 帮助 识别 包 。 

状态 检测 技术 结合 了 包 过 滤 技 术 和 代理 服务 技术 的 特点 。 与 包 过 滤 技 术 相 同 的 是 它 也 
对 用 户 透 明 , 能 够 在 网 络 层 上 通过 IP 地 址 和 端口 号 ,过 滤 进 出 的 数据 包 ; 与 代理 服务 技术 
相同 的 是 可 以 在 应 用 层 上 检查 数据 包 内 容 , 查 看 这 些 内 容 是 否 能 符合 安全 规则 。 

4. 自 适应 代理 技术 

自 适应 代理 (Adaptive Proxy) 技 术 本 质 上 也 属于 代理 服务 技术 ,但 它 也 结合 了 状态 检 
测 技 术 。 自 适应 代理 技术 是 在 商业 应 用 防火 墙 中 实现 的 一 种 新 型 技术 。 它 结合 了 代理 服务 
防火 墙 的 安全 性 和 包 过 滤 防 火 墙 的 高 速度 等 优点 ,在 保证 安全 性 的 基础 上 将 代理 服务 器 防 
火 墙 的 性 能 提高 十 倍 以 上 。 


在 对 防火 墙 进行 配置 时 ,用 户 仅仅 将 所 需要 的 服务 类 型 、 安 全 级 别 等 信息 通过 相应 代理 
的 管理 界面 进行 设置 即 可 。 然 后 , 自 适 应 代理 就 可 以 根据 用 户 的 配置 信息 ,决定 是 使 用 代理 
服务 器 从 应 用 层 代 理 请 求 ,还 是 使 用 动态 包 过 滤器 从 网 络 层 转发 包 。 如 果 是 后 者 , 它 将 动态 
地 通知 包 过 滤器 增 减 过 滤 规 则 ,以 满足 用 户 对 速度 和 安全 性 的 双重 要 求 。 


6.2 网 络 病毒 与 防范 


几乎 所 有 人 都 听 说 过 计算 机 病毒 这 个 名 词 ,使 用 过 计算 机 的 人 大 多 也 都 领教 过 计算 机 
病毒 的 厉害 。 特 别 是 随 着 Internet 应 用 的 普及 和 各 种 计算 机 网 络 及 相关 技术 的 发 展 ,计算 
机 病毒 越 来 越 高 级 ,种 类 也 越 来 越 多 。 以 前 很 长 时 间 才 出 现 一 次 病毒 入 侵 事 件 , 而 现在 几乎 
每 天 都 有 计算 机 病毒 进行 大 破坏 的 消息 ,计算 机 病毒 不 时 地 对 网 络 系统 的 安全 构成 严重 的 
威胁 。 对 网 络 管理 员 来 说 ,防御 计算 机 病毒 有 时 是 比 其 他 管理 工作 更 困难 的 任务 。 对 人 们 
来 说 ,了 解 和 预防 计算 机 病毒 的 威胁 显得 格外 重要 ,任何 网 络 系统 安全 的 讨论 都 要 考虑 到 计 
算 机 病毒 的 因素 。 


6.2.1 计算 机 病毒 基本 知识 


计算 机 病毒 (Computer Virus) 是 编制 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 数 
据 的 代码 ,能 影响 计算 机 使 用 ,能 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 。 计 算 机 病毒 是 
一 个 程序 ,一 段 可 执行 代码 。 就 像 生物 病毒 一 样 ,具有 自我 繁殖 、 互 相传 染 以 及 激活 再 生 等 
生物 病毒 特征 。 计 算 机 病毒 有 独特 的 复制 能 力 ,它们 能 够 快速 蔓延 ,又 常常 难以 根除 。 它 们 
能 把 自身 附着 在 各 种 类 型 的 文件 上 , 当 文 件 被 复制 或 从 一 个 用 户 传送 到 另 一 个 用 户 时 ,它们 
就 随同 文件 一 起 蔓延 开 来 。 

最 早 攻击 计算 机 的 病毒 是 Brain, 诞 生 于 1986 年 。 在 此 后 的 三 十 多 年 时 间 里 ,病毒 的 制 
作 技 术 也 从 逐步 发 展 转变 成 飞速 发 展 ,特别 是 进入 21 世纪 后 ,计算 机 病毒 的 发 展 非常 迅速 ， 
病毒 数量 猛 增 , 破 坏 性 也 越 来 越 大 。 随 着 计算 机 应 用 和 计算 机 病毒 的 发 展 , 计 算 机 病毒 的 破 
坏 程 度 日 益 增加 ,危害 性 也 越 来 越 严 重 。 根 据 IDC 的 统计 ,全 世界 每 年 因为 计算 机 病毒 造 
成 的 直接 损失 可 以 达到 数 千 亿 美元 。 因 此 认识 和 了 解 计算 机 病毒 的 基本 知识 对 预防 计算 机 
病毒 是 十 分 必要 的 。 

1. 计算 机 病毒 的 特征 

计算 机 病毒 是 人 为 制造 的 .具有 一 定 破坏 性 的 程序 。 它 们 与 生物 病毒 有 不 同 点 ,也 有 相 
似 之 处 。 概 括 起 来 ,计算 机 病毒 具有 繁殖 性 、 传 染 性 、 破 坏 性 、 隐 蔽 性 和 潜伏 性 、 可 触发 性 、 衍 
生性 ,不 可 预见 性 等 特征 。 

(1) 繁殖 性 。 计 算 机 病毒 可 以 像 生物 病毒 一 样 进行 繁殖 , 当 正 常 程序 运行 时 , 它 也 进行 
运行 并 自身 复制 。 是 否 具有 繁殖 的 特征 是 判断 某 段 程序 是 否 为 计算 机 病毒 的 首要 条 件 。 

(2) 传染 性 。 计 算 机 病毒 的 传染 性 是 病毒 的 本 质 特征 。 计 算 机 病毒 通过 修改 别 的 程序 
将 自身 的 复制 品 或 其 变 体 传染 到 其 他 无 毒 的 对 象 上 ,这 些 对 象 可 以 是 一 个 程序 也 可 以 是 系 
统 中 的 某 一 个 部 件 。 在 一 定 条 件 下 ,病毒 可 以 通过 某 种 渠道 从 一 个 文件 或 一 台 计 算 机 上 传 
染 到 其 他 没 被 感染 的 文件 或 计算 机 上 。 当 在 一 台 计 算 机 上 发 现 病毒 时 ,那么 曾 在 这 台 计 算 
机 上 用 过 的 各 种 可 移动 的 外 部 存储 设备 可 能 均 已 传染 上 了 病毒 ,而 与 这 台 计 算 机 相 联 网 的 
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其 他 计算 机 也 许 被 该 病毒 传染 了 。 传 染 的 病毒 轻 则 使 被 感染 的 文件 或 计算 机 数据 破坏 或 工 
作 失 常 , 重 则 使 系统 瘫痪 。 是 否 具有 传染 性 是 判别 一 个 程序 是 否 为 计算 机 病毒 的 重要 依据 。 

(3) 破坏 性 。 任 何 病 毒 只 要 侵入 到 计算 机 系统 中 ,都 会 对 系统 及 应 用 程序 产生 不 同 程 
度 的 影响 。 可 能 会 导致 正常 的 程序 无 法 运行 ,删除 或 不 同 程度 地 损坏 计算 机 内 的 文件 ,破坏 
引导 扇 区 及 BIOS, 破 坏 硬件 环境 等 。 良 性 病毒 可 能 只 显示 一 些 画 面 或 播 出 音乐 .无聊 的 语 
句 , 或 者 根本 没有 任何 破坏 动作 ,但 会 占用 系统 资源 。 恶 性 病毒 则 有 明确 的 目的 ,或 破坏 数 
据 、 删 除 文 件 , 或 加 密 磁盘 、 格 式 化 磁盘 ,有 的 对 数据 造成 不 可 挽回 的 破坏 。 恶 性 病毒 的 危害 
性 很 大 ,严重 时 可 导致 系统 死机 ,其 至 网 络 瘫痪 。 

(4) 隐蔽 性 和 潜伏 性 。 计 算 机 病毒 一 般 是 一 些 短小 精 悍 的 程序 ,通常 附 在 正常 程序 中 
或 数据 代码 中 ,病毒 程序 与 正常 程序 是 不 容易 区 别 开 来 的 。 一 般 在 没有 防护 措施 的 情况 下 ， 
计算 机 病毒 程序 取得 系统 控制 权 后 ,可 以 在 很 短 的 时 间 里 传染 大 量程 序 。 而 且 受 到 传染 后 ， 
计算 机 系统 通常 仍 能 正常 运行 ,使 用 户 不 会 感到 任何 异常 。 正 是 由 于 这 种 隐蔽 性 ,计算 机 病 
毒 才 得 以 在 用 户 没有 察觉 的 情况 下 扩散 到 众多 的 计算 机 中 。 大 部 分 的 病毒 代码 之 所 以 设计 
得 非常 短小 ,也 蚌 为 了 便于 隐藏 。 潜 伏 性 是 指 计算 机 病毒 在 进入 系统 后 一 般 会 悄悄 地 潜伏 
下 来 而 不 会 立即 有 所 动作 。 因 此 ,一 般 的 用 户 就 不 会 察觉 ,但 是 病毒 会 在 这 个 潜伏 期 内 进行 
传染 。 多 数 的 病毒 都 有 一 个 潜伏 期 的 存在 ,潜伏 期 越 长 .潜伏 得 越 好 ,在 达到 触发 条 件 时 就 
会 有 更 多 的 计算 机 被 感染 、 被 破坏 。 

(5) 可 触发 性 。 编 制 计算 机 病毒 的 人 ,一 般 都 为 病毒 程序 设 定 了 一 些 触 发 条 件 ,大 部 分 
的 病毒 在 感染 系统 后 一 般 不 会 马上 发 作 , 可 在 几 个 小 时 、 几 天 、 几 周 甚至 几 个 月 内 隐藏 起 来 
而 不 被 发 现 ,只 有 在 满足 其 特定 触发 条 件 时 才 会 改作。 病毒 的 触发 条 件 也 是 非常 多 样 化 的 ， 
如 日 期 触发 .时 间 和 触发 .键盘 触发 .启动 触发 .访问 磁盘 次 数 触 发 .调用 中 断 功能 触发 .打开 邮 
件 触发 .随机 触发 等 。 在 到 达 其 触发 条 件 要 求 时 ,病毒 程序 就 会 表现 出 它 的 破坏 性 ,而 在 此 
之 前 它 只 是 处 于 潜伏 期 。 

(6) 衍生 性 。 衍 生性 也 称 为 变异 性 ,是 指 计算 机 病毒 在 传播 过 程 中 ,可 能 经 过 其 他 用 户 
的 修改 ,产生 出 新 的 病毒 。 但 是 这 种 新 病毒 是 在 原 病毒 代码 的 基础 上 修改 而 成 的 ,因而 也 被 
叫 作 变异 病毒 。 一 般 而 言 ,变异 后 的 病毒 更 具有 隐藏 性 ,其 破坏 威力 也 更 大 。 

(7) 不 可 预见 性 。 计 算 机 病毒 的 制作 技术 不 断 提高 ,种 类 也 不 断 增加 ,而 相 比 之 下 , 防 
病毒 技术 却 落 后 于 病毒 制作 技术 。 新 型 操作 系统 、 新 型 软件 工具 的 应 用 .也 为 病毒 编制 者 提 
供 了 方便 。 因 此 ,对 未 来 病毒 的 类 型 特点 及 破坏 性 等 均 很 难 预测 。 

2. 计算 机 病毒 的 类 型 

1) 按照 寄生 方式 分 类 

按照 计算 机 病毒 的 寄生 方式 分 类 ,可 将 计算 机 病毒 分 为 引导 型 病毒 ,文件 型 病毒 和 混合 
型 病毒 。 

引导 型 病毒 通过 感染 软盘 的 引导 扇 区 ,并 进而 感染 硬盘 和 硬盘 中 的 “ 主 引 导 记 录 ”。 当 
硬盘 被 感染 后 ,计算 机 就 会 感染 每 个 插入 计算 机 的 软盘 。 引 导 型 病毒 在 占据 引导 区 后 会 将 
系统 正常 的 引导 程序 放 到 其 他 位 置 , 系 统 在 启动 时 先 调用 引导 区 的 病毒 程序 ,再 转向 执行 真 
正 的 引导 程序 ,因而 系统 仍然 能 够 正常 使 用 ,但 是 病毒 程序 实际 已 经 启动 。 

文件 型 病毒 是 通过 操作 系统 的 文件 进行 传播 和 感染 的 病毒 。 文 件 型 病毒 通常 隐藏 在 系 
统 的 存储 器 内 ,感染 文件 的 扩展 名 为 EXE、COM、DLL、SYS、BIN、DOC 等 。 文 件 型 病毒 又 


可 分 为 源码 型 病毒 .做 入 型 病毒 和 外 壳 型 病毒 。 

混合 型 病毒 就 是 同时 拥有 引导 型 病毒 和 文件 型 病毒 特征 的 病毒 。 该 类 病毒 既 可 感染 引 
导 区 也 感染 可 执行 文件 。 因 此 ,这 类 病毒 的 传染 性 更 强 ,清除 难度 也 更 大 。 清 除 混合 型 病毒 
时 需要 同时 清除 引导 区 的 病毒 和 被 感染 文件 的 病毒 ,因此 常常 会 出 现 清除 不 干净 的 情况 。 

2) 按照 链接 方式 分 类 

计算 机 病毒 要 进行 传播 ,就 必须 要 进入 系统 中 才能 执行 ,进而 要 借助 于 系统 内 的 文件 建 
立 链接 。 按 照 计算 机 病毒 链接 文件 的 方式 不 同 , 计 算 机 病毒 可 分 为 源码 型 病毒 .嵌入 型 病 
毒 . 外 壳 型 病毒 和 操作 系统 型 病 。 

源码 型 病毒 是 攻击 高 级 语言 的 病毒 ,这 类 病毒 需要 在 高 级 语言 编译 时 插入 到 高 级 语言 
程序 中 成 为 程序 的 一 部 分 。 

嵌入 型 病毒 是 将 病毒 程序 代码 嵌入 到 现 有 程序 中 ,将 病毒 的 主体 程序 与 攻击 的 对 象 以 
插入 的 方式 进行 链接 。 

外 壳 型 病毒 是 将 自身 程序 代码 包围 在 攻击 对 象 的 四 周 ,但 不 对 攻击 对 象 做 修改 ,只 是 通 
过 攻击 对 象 在 运行 时 先 运行 外 壳 文 件 而 激活 病毒 。 

操作 系统 型 病毒 是 将 病毒 程序 取代 或 加 入 到 操作 系统 中 , 当 操作 系统 运行 时 就 运行 了 
病毒 程序 。 

3) 按照 破坏 程度 分 类 

按照 计算 机 病毒 的 破坏 程度 区 分 ,计算 机 病毒 可 分 为 良性 病毒 和 恶性 病毒 。 

良性 病毒 是 指 本 身 不 会 对 系统 造成 直接 破坏 的 病毒 。 这 类 病毒 在 发 作 时 并 不 会 直接 破 
坏 系统 或 文件 ,一 般 会 显示 一 些 信息 ,演奏 一 段 音 乐 等 。 良 性 病毒 虽然 在 表象 上 不 会 直接 破 
坏 系统 或 文件 ,但 它 会 占用 硬盘 空间 ,在 病毒 发 作 时 会 占用 内 存 和 CPU ,造成 其 他 正常 文件 
运行 缓慢 ,影响 用 户 的 正常 工作 。 

恶性 病毒 是 指 破坏 系统 或 文件 的 病毒 。 恶 性 病毒 在 发 作 时 会 对 系统 或 文件 造成 严重 的 
后 果 , 如 删除 文件 .破坏 分 区 表 或 格式 化 硬盘 ,使 系统 崩溃 .重启 甚至 无 法 开机 ,给 用 户 工作 
带 来 严重 的 影响 。 

3. 计算 机 病毒 的 传播 

计算 机 病毒 是 通过 某 个 人 侵 点 进入 系统 进行 传染 的 。 在 网 络 中 可 能 的 入 侵 点 有 服务 
器 .电子 邮件 `.BBS 上 下 载 的 文件 WWW 站 点 .FTP 文件 下 载 . 网 络 共 享 文件 及 常规 的 网 络 
通信 .盗版 软件 .示范 软件 .计算 机 实验 室 和 其 他 共享 设备 。 

病毒 传播 进入 系统 的 途径 主要 有 网 络 .可 移动 存储 设备 和 通信 系统 三 种 。 

1) 网 络 

计算 机 网 络 为 现代 信息 的 传输 和 共享 提供 了 极 大 的 方便 ,但 它 也 成 了 计算 机 病毒 迅速 
传播 扩散 的 “高 速 公路 "。 在 网 络 上 , 带 有 病毒 的 文件 或 邮件 被 下 载 或 接收 后 被 打开 或 运行 ， 
病毒 就 会 扩散 到 系统 中 相关 的 计算 机 上 。 服 务 器 是 网 络 的 整体 或 部 分 核心 ,一 旦 其 关键 文 
件 被 感染 ,再 通过 服务 器 的 扩散 ,病毒 就 会 对 系统 造成 巨大 的 破坏 。 在 信息 国际 化 的 同时 ， 
病毒 也 在 国际 化 ,计算 机 网 络 将 是 今后 计算 机 病毒 传播 的 主要 途径 。 

2) 可 移动 存储 设备 

计算 机 病毒 可 通过 可 移动 存储 设备 (如 磁带 、 光 盘 、U 盘 等 ) 进 行 传播 。 在 这 些 可 移动 
的 存储 设备 中 ,U 盘 是 应 用 最 广泛 且 移 动 性 最 频繁 的 存储 介质 ,将 带 有 病毒 的 U 盘 在 网 络 





网 络 长 态 贰 太 


刀口 四 


计算 机 网 络 安 会 (第 3 版 ) 





中 的 计算 机 上 使 用 ,U 盘 所 带 的 病毒 就 会 很 容易 被 扩散 到 网 络 上 。 大 量 的 计算 机 病毒 都 是 
从 这 类 途径 传播 的 。 

3) 通信 系统 

通过 点 对 点 通信 系统 和 无 线 通信 信道 也 可 传播 计算 机 病毒 。 目 前 出 现 的 手机 病毒 就 是 
利用 无 线 信 道 传播 的 。 虽 然 目前 这 种 传播 途径 还 没有 十 分 广泛 ,但 以 后 很 可 能 会 成 为 仅 次 
于 计算 机 网 络 的 第 二 大 病毒 扩散 渠道 。 

4. 计算 机 病毒 的 危害 

提 到 计算 机 病毒 的 危害 ,人 们 往往 注重 病毒 对 信息 系统 的 直接 破坏 ,如 格式 化 硬盘 、 删 
除 文件 等 ,并 以 此 来 区 分 恶性 病毒 和 良性 病毒 。 计 算 机 病毒 的 主要 危害 有 攻击 系统 数据 区 、 
攻击 文件 ,抢占 系统 资源 .占用 磁盘 空间 和 破坏 信息 .干扰 系统 运行 、 使 运行 速度 下 降 、 攻 击 
CMOS ,攻击 和 破坏 网 络 系统 等 。 

5. 计算 机 病毒 的 发 展 趋势 

现在 的 计算 机 病毒 已 经 由 从 前 的 单一 传播 . 单 种 行为 变 成 依赖 Internet 传播 , 集 电 子 邮 
件 .文件 传染 等 多 种 传播 方式 , 融 木 马 `. 黑 客 等 多 种 攻击 手段 于 一 身 , 形 成 一 种 广义 的 “新 病 
毒 ”。 根 据 这 些 病毒 的 发 展演 变 , 计 算 机 病毒 技术 可 能 具有 如 下 发 展 趋势 。 

(1) 病毒 的 网 络 化 。 病 毒 与 Internet 和 Intranet 更 紧密 地 结合 ,利用 Internet 上 一 切 可 
以 利用 的 方式 进行 传播 ,如 邮件 、 局 域 网 、 远 程 管理 ,实时 通信 工具 等 。 

(2) 病毒 功能 的 综合 化 。 新 型 病毒 集 传统 病毒 .蠕虫 木马、 黑客 程序 的 特点 于 一 身 , 破 
坏 性 大 大 加 强 。 

(3) 传播 途径 的 多 样 化 。 病 毒 通过 网 络 共享 网络 漏洞 ,网络 浏览 .电子 邮件 .即时 通信 
软件 等 途径 传播 。 

(4) 病毒 的 多 平台 化 。 目 前 ,各 种 常用 的 操作 系统 平台 均 已 发 现 病 毒 ,第 一 个 路 
Windows 和 Linux 平台 的 病毒 Winux 也 于 几 年 前 出 现 , 跨 各 种 新 型 平台 的 病毒 将 会 推出 和 
普及 。 手 机 和 PDA 等 移动 设备 上 的 病毒 也 已 出 现 ,还 将 会 有 更 大 的 发 展 。 

(5) 使 用 反 跟 踪 技 术 。 当 用 户 和 防 病 毒 技 术 人 员 发 现 一 种 病毒 时 ,通常 都 要 先 对 其 进 
行 详细 的 分 析 和 跟踪 解剖 。 为 了 对 抗 动态 跟踪 ,病毒 程序 中 会 嵌入 一 些 破坏 单 步 中 断 INT 
1H 和 中 断 点 设置 中 断 INT 3H 的 中 断 向 量程 序 段 ,从 而 使 动态 跟踪 难以 完成 。 有 的 病毒 
则 采用 锁 死 鼠标 和 键盘 操作 等 行为 来 禁止 单 步 跟踪 。 

(6) 病毒 的 智能 化 。 病 毒 不 断 繁衍 ,不 同 变种 ,在 不 同 宿 主 程序 中 的 病毒 代码 ,不 仅 绝 
大 部 分 不 相同 , 且 变 化 的 代码 段 的 相对 空间 排列 位 置 也 有 变化 。 病 毒 能 自动 化 整 为 零 , 分 散 
潜伏 到 各 种 宿主 中 。 对 不 同 的 感染 目标 ,分 散 潜伏 的 宿主 也 不 一 定 相同 ,在 活动 时 又 能 自动 
组 合成 一 个 完整 的 病毒 。 


6.2.2 网 络 病毒 


网 络 病毒 一 般 是 指 利用 网 络 线路 在 网 络 上 进行 传播 的 病毒 或 是 与 网 络 有 关 的 病毒 ,如 
电子 邮件 病毒 等 。 

在 计算 机 病毒 的 发 展 初期 , 绝 大 多 数 计算 机 均 处 于 单机 工作 状态 ,那个 阶段 的 病毒 传播 
媒介 只 是 软盘 、 光 盘 等 移动 存储 设备 。 随 着 Internet 的 发 展 和 普及 ,现代 计算 机 病毒 充分 利 
用 了 Internet 信息 传播 的 快捷 性 和 Internet 本 身 的 安全 漏洞 ,使 得 新 型 的 计算 机 病毒 层 出 


不 穷 , 并 能 在 极 短 的 时 间 内 迅速 传播 到 世界 各 地 ,这 就 是 网 络 病毒 。 由 于 现代 网 络 病毒 传播 
的 快速 性 ,使 得 其 危害 性 远 远大 于 原来 的 单机 病毒 。 

1. 网 络 病毒 的 传播 

如 今 ,网络 病毒 不 再 是 通过 单一 的 移动 存储 设备 进行 传播 ,而 是 通过 网 络 传输 媒介 进行 
传播 ,其 主要 的 传播 媒介 有 电子 邮件 .IE 漏洞 .Web 服务 和 网 络 共享 服务 等 。 

(1) 电子 邮件 。 将 病毒 附着 在 电子 邮件 的 附件 中 ,然后 将 附件 命名 为 一 个 能 够 吸引 用 
户 的 名 字 , 当 用 户 打开 附件 文件 时 ,计算 机 就 会 被 病毒 所 感染 。 

(2) IE 漏洞 。 利 用 正 的 安全 漏洞 ,将 病毒 附加 在 邮件 中 。 这 种 方法 并 不 需要 用 户 打 
开 邮 件 附 件 , 只 要 用 户 打开 邮件 ,用户 的 计算 机 就 会 被 病毒 所 感染 。 

(3) Web 服务 。 有 些 网 络 病毒 会 存在 于 Web 服务 器 中 , 当 用 户 访问 这 些 服务 器 时 , 计 
算 机 就 会 被 病毒 所 感染 。 

(4) 网 络 共享 服务 。 某 些 网 络 病毒 隐藏 在 Internet 下 载 文件 或 工具 软件 这 些 看 似 正 常 
的 文件 中 。 当 用 户 下 载 文件 到 本 地 计算 机 时 ,本 地 计算 机 就 会 被 病毒 所 感染 。 

2. 网 络 病毒 的 特点 

在 网 络 环境 中 ,计算 机 病毒 有 以 下 特点 。 

(1) 传播 速度 快 。 在 计算 机 单机 环境 下 ,病毒 的 传播 只 能 依靠 软盘 等 介质 进行 ,传播 速 
度 相 应 较 慢 。 而 在 网 络 环境 下 ,病毒 的 传播 通过 网 络 可 以 快速 扩散 ,只 要 有 一 台 计 算 机 受到 
病毒 的 感染 ,就 可 以 在 短 短 几 分 钟 内 传 遍 整个 网 络 。 

(2) 传播 范围 广 。 网 络 中 一 台 计 算 机 感染 了 病毒 不 仅 可 以 感染 本 地 局 域 网 内 的 计算 
机 ,还 可 以 通过 Internet 传播 到 其 他 网 络 ,甚至 全 球 各 地 的 网 络 。 

(3) 清除 难度 大 。 网 络 病毒 因为 其 传播 迅速 , 当 用 户 察觉 到 某 台 计算 机 感染 病毒 时 , 往 
往 在 本 地 网 络 中 已 经 有 其 他 计算 机 也 感染 了 病毒 。 如 果 用 户 仅仅 清除 本 地 计算 机 的 病毒 ， 
那么 网 络 上 其 他 计算 机 上 的 病毒 仍然 能 够 感染 本 地 计算 机 ,使 病毒 难以 清除 干净 。 

(4) 破坏 性 大 。 网 络 病 毒 不 仅 对 用 户 的 计算 机 造成 破坏 ,还 会 破坏 网 络 服务 器 系统 。 
甚至 使 用 户 的 信息 泄密 ,使 网 络 系统 被 控制 等 ,对 用 户 的 工作 带 来 严重 的 影响 。 

(5) 病毒 变种 多 。 现 在 ,计算 机 高 级 编程 语言 种 类 繁多 ,网 络 环境 的 编程 语言 也 十 分 丰 
富 ,利用 这 些 编程 语言 编制 的 计算 机 病毒 种 类 也 很 繁杂 ,如 “ 爱 虫 ”是 脚本 语言 病毒 。 此 外 还 
有 Java 语言 病毒 .HTML 病毒 等 。 这 些 病毒 容易 编写 ,也 容易 修改 、 升 级 ,从 而 生成 许多 新 
的 变种 ,“ 爱 虫 "病毒 在 十 几 天 之 内 就 出 现 了 三 十 多 个 变种 。 

3. 网 络 病毒 的 防范 

在 预防 网 络 病毒 时 ,一 般 应 做 到 以 下 几 点 。 

(1) 安装 防 病毒 软件 并 及 时 升级 。 在 网 络 系统 中 ,用 户 应 至 少 安装 一 套 先进 的 防 病毒 
软件 ,并 要 及 时 地 进行 升级 ,以 便 查 杀 新 型 病毒 。 

(2) 不 要 轻易 运行 不 明 程序 。 不 要 轻易 运行 下 载 程序 或 别人 传 给 的 程序 ,哪怕 是 好 友 
发 来 的 程序 ,除非 对 方 有 特别 的 说 明 。 因 为 对 方 有 可 能 不 知道 ,而 是 病毒 程序 悄悄 附着 上 来 
的 ,或 者 对 方 的 计算 机 有 可 能 已 经 被 感染 ,只 是 其 不 知道 而 已 。 

(3) 加 载 补丁 程序 。 现 在 很 多 病毒 的 传播 都 是 利用 了 系统 的 漏洞 ,管理 员 需 要 经 常 到 
系统 厂商 网 站 上 下 载 并 安装 相应 的 系统 漏洞 补丁 ,减少 系统 被 攻击 的 机 会 。 

(4) 不 要 随意 接收 和 打开 邮件 。 用 户 接收 电子 邮件 时 需要 注意 ,对 于 陌生 人 的 邮件 ,不 
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要 贸然 接收 ,更 不 能 随意 打开 。 如 果 邮 件 中 附件 文件 的 扩展 名 是 EXE, 那 就 更 不 能 打开 了 。 
当 用 户 收 到 邮件 时 也 不 要 随意 转发 ,在 转发 邮件 前 最 好 先 确认 邮件 的 安全 性 ,以 避免 接收 方 
接 到 邮件 后 直接 打开 邮件 而 被 病毒 感染 。 

用 户 应 尽量 不 用 聊天 系统 在 线 接收 附件 ,特别 是 陌生 人 的 附件 。 有 些 陌生 人 传送 的 附 
件 中 有 可 能 隐 含 着 病毒 文件 ,需要 用 杀毒 软件 扫描 后 才能 打开 。 

(5) 从 正规 网 站 下 载 软件 。 用 户 可 从 正规 网 站 上 下 载 文 件 或 工具 软件 ,这 样 可 减少 对 
系统 的 威胁 。 

4. 感染 病毒 后 的 处 理 

当 网 络 系统 感染 病毒 后 ,可 采取 以 下 措施 进行 紧急 处 理 , 恢 复 系统 或 受 损 部 分 。 

(1) 隔离 。 当 某 计 算 机 感染 病毒 后 ,可 将 其 与 其 他 计算 机 进行 隔离 ,避免 相互 复制 和 通 
信 。 当 网 络 中 某 结 点 感染 病毒 后 ,网 络 管理 员 必 须 立 即 切断 该 结 点 与 网 络 的 连接 ,以 避免 病 
毒 扩散 到 整个 网 络 。 

(2) 报警 。 病 毒 感染 点 被 隔离 后 ,要 立即 向 网 络 系统 安全 管理 人 员 报 警 。 

(3) 查 毒 源 。 接 到 报警 后 ,系统 安全 管理 人 员 可 使 用 相应 的 防 病毒 系统 鉴别 受 感染 的 
机 器 和 用 户 , 检 查 那 些 经 常 引起 病毒 感染 的 结 点 和 用 户 ,并 查找 病毒 的 来 源 。 

(4) 采取 应 对 方法 和 对 策 。 网 络 系统 安全 管理 人 员 要 对 病毒 的 破坏 程度 进行 分 析 检 
查 , 并 根据 需要 采取 有 效 的 病毒 清除 方法 和 对 策 。 如 果 被 感染 的 大 部 分 是 系统 文件 和 应 用 
程序 文件 , 且 感染 程度 较 深 , 则 可 采取 重 装 系统 的 方法 来 清除 病毒 ; 如 果 感 染 的 是 关键 数据 
文件 ,或 破坏 较 严 重 时 ,可 请 防 病毒 专家 进行 清除 病毒 和 恢复 数据 的 工作 。 

(5) 在 修复 前 备份 数据 。 在 对 被 感染 的 病毒 进行 清除 前 ,应 尽 可 能 地 将 重要 的 数据 文 
件 备份 ,以 防 在 使 用 防 病毒 软件 或 其 他 清除 工具 查 杀 病毒 时 ,将 重要 的 数据 文件 误杀 。 

(6) 清除 病毒 。 将 重要 的 数据 备份 后 ,运行 查 杀 病毒 软件 ,并 对 相关 系统 进行 扫描 。 一 
且 发 现 病毒 ,就 立即 清除 。 如 果 可 执行 文件 中 的 病毒 不 能 清除 ,应 将 其 删除 ,然后 再 安装 相 
应 的 程序 。 

(7) 重启 和 恢复 。 病 毒 被 清除 后 ,应 重新 启动 计算 机 ,并 再 次 使 用 防 病毒 软件 检测 系统 
是 否 还 有 病毒 ,并 恢复 被 破坏 的 数据 。 


6.2.3 网 络 病毒 防范 


1. 蠕虫 病毒 及 其 防范 

1) 蠕虫 病毒 的 类 型 

蠕虫 (Worm) 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 , 它 的 传播 不 需要 借助 被 感染 主 
机 中 的 其 他 程序 。 蠕 虫 可 以 自动 创建 与 它 的 功能 完全 相同 的 副本 (自动 复制 ), 并 在 没 人 干 
涉 的 情况 下 自动 运行 。 蠕 虫 是 通过 系统 中 存在 的 漏洞 和 设置 的 不 安全 性 进行 人 侵 的 。 从 广 
义 上 看 ,蠕虫 也 是 一 种 病毒 ,因为 蠕虫 具有 病毒 的 一 般 性 特征 ,如 传染 性 ,破坏 性 等 ,但 蠕虫 
与 普通 病毒 又 有 区 别 。 

普通 病毒 具有 寄生 性 , 它 主要 是 通过 感染 文件 来 控制 系统 的 。 而 蠕虫 一 般 不 采取 寄生 
的 方式 传播 , 它 主要 是 通过 复制 自身 在 网 络 中 传播 。 普 通病 毒 主要 是 传染 计算 机 中 的 文件 ， 
而 蠕虫 主要 是 传染 网 络 中 的 计算 机 。 

从 用 户 的 角度 看 ,蠕虫 病毒 可 分 为 企业 类 用 户 蠕虫 病毒 和 个 人 类 用 户 蠕虫 病毒 。 企 业 


类 用 户 蠕虫 病毒 利用 系统 漏洞 ,主动 进行 攻击 ,可 以 对 整个 网 络 造成 瘫痪 性 的 后 果 , 以 “红色 
代码 ”“ 尼 姆 达 ”“SQL 蠕虫 王 ” 病 毒 为 代表 ; 个 人 类 用 户 蠕虫 病毒 通过 网 络 ( 主 要 是 电子 邮 
件 、 恶 意 网 页 等 ) 迅 速 传播 ,以 “ 爱 虫 “求职 信 ” 病 毒 为 代表 。 在 这 两 类 蠕虫 病毒 中 ,第 一 类 具 
有 很 强 的 主动 攻击 性 ,而 且 发 作 也 有 一 定 的 突然 性 .但 查 杀 这 类 蠕虫 病毒 相对 容易 些 。 第 二 
类 蠕虫 病毒 的 传播 方式 比较 复杂 和 多 样 , 少 部 分 利用 微软 的 应 用 程序 漏洞 ,大 部 分 是 利用 社 
会 工程 学 (Social Engineering) 陷 阱 对 用 户 进行 欺骗 和 诱惑 ,这 类 蠕虫 病毒 造成 的 损失 是 非 
常 大 的 ,同时 也 是 很 难 根除 的 。 

按 蠕虫 病毒 传播 和 攻击 特征 ,可 将 蠕虫 病毒 分 为 漏洞 蠕虫 .邮件 蠕虫 和 传统 蠕虫 。 其 中 
以 利用 系统 漏洞 进行 破坏 的 蠕虫 病毒 最 多 , 约 占 总 体 蠕 虫 病毒 数量 的 七 成 ,邮件 蠕虫 病毒 居 
第 二 位 ,传统 蠕虫 病毒 仅 占 3% ~~4%。 蠕 虫 病毒 可 以 造成 互联 网 大 面积 瘫痪 ,引起 邮件 服 
务 器 堵塞 ,最 主要 的 症状 体现 在 用 户 浏览 不 了 互联 网 ,或 者 企业 用 户 接收 不 了 邮件 。 

2) 蠕虫 病毒 的 特点 

通常 ,蠕虫 病毒 具有 以 下 特点 。 

(1) 利用 网 络 系统 漏洞 进行 主动 攻击 。 蠕 虫 病毒 的 传染 不 需要 宿主 ,因此 它 可 利用 网 
络 操 作 系 统 和 应 用 程序 漏洞 进行 主动 攻击 ,“ 红 色 代 码 ” 尼 姆 达 ” 和 “震荡 波 ” 等 就 是 漏洞 里 
虫 病毒 。 由 于 IE 浏览 器 的 漏洞 ,使 得 感染 了 * 尼 姆 达 ?” 蠕 虫 病毒 的 邮件 在 不 用 手工 打开 附件 
的 情况 下 就 能 激活 病毒 ;“ 红 色 代 码 ” 是 利用 微软 IIS 服务 器 软件 的 漏洞 (idq. dll 远程 缓存 
区 溢出 ?来 传播 ;“ 震 荡 波 ?病毒 是 利用 微软 操作 系统 漏洞 LSASS 进行 的 攻击 。 

(2) 传播 迅速 ,难以 清除 。 与 普通 病毒 相 比 ,蠕虫 病毒 不 仅 感染 本 地 计算 机 ,而 且 还 会 
以 本 地 计算 机 为 传播 者 感染 网 络 上 的 其 他 计算 机 。 一 旦 某 台 计算 机 感染 了 蠕虫 病毒 ,在 短 
时 间 内 ,几乎 网 络 上 所 有 的 计算 机 都 会 被 依次 传染 ,导致 网 络 出 现 各 种 状况 甚至 发 生 阻塞 ， 
严重 影响 网 络 的 正常 使 用 。 而 且 这 些 病毒 很 难 被 清除 。 

(3) 传播 方式 多 样 。 蠕 虫 病毒 可 利用 文件 .电子 邮件 、Web 服务 器 、 网 络 共 享 等 途径 进 
行 传播 。 

(4) 隐蔽 性 更 强 。 蠕 虫 病毒 可 利用 系统 漏洞 将 其 隐藏 在 邮件 正文 中 , 当 用 户 打开 邮件 
时 就 会 将 蠕虫 病 毒 自 动 解码 到 用 户 硬 盘 并 执行 。 另 外 ,新 病毒 利用 JavaScript、 ActiveX、 
VBScript 等 技术 ,可 以 潜伏 在 HTML 页 面 里 ,在 用 户 上 网 浏览 时 被 触发 。 

(5) 危害 性 和 破坏 性 更 大 。 蠕 虫 病毒 不 仅 破坏 网 络 性 能 ,在 感染 系统 后 还 会 在 系统 内 
留 下 后 门 , 方 便 黑 客 下 次 进入 系统 ,控制 系统 。 蠕 虫 病毒 可 破坏 系统 文件 ,影响 整个 网 络 的 
运行 ,使 网 络 服 务 器 资源 遭 到 破坏 ,甚至 使 整个 网 络 系统 瘫痪 。 

(6) 与 黑客 技术 相 结 合 。 蠕 虫 病毒 和 黑客 技术 的 结合 .使 得 对 蠕虫 病毒 的 分 析 、 检 测 和 
防范 具有 一 定 的 难度 。 以 “红色 代码 ”蠕虫 病毒 为 例 ,被 感染 机 器 的 web 目录 的 \scripts 下 
将 生成 一 个 root. exe, 可 以 远程 执行 任何 命令 ,从 而 使 黑客 能 够 再 次 进入 ,潜在 的 威胁 和 损 
失 更 大 。 

3) 蠕虫 病毒 的 防范 

与 普通 病毒 不 同 的 一 个 典型 特征 是 蠕虫 病毒 能 够 利用 系统 漏洞 。 这 些 漏洞 就 是 缺陷 ， 
缺陷 可 分 为 软件 缺陷 和 人 为 缺陷 两 类 。 软 件 缺 陷 ( 如 远程 溢出 、 微 软 正 和 Outlook 的 自动 
执行 漏洞 等 ) 需 要 软件 厂商 和 用 户 共同 配合 ,不 断 地 升级 软件 来 解决 。 人 为 缺陷 主要 是 指 网 
络 用 户 的 朴 忽 ,这 就 是 所 谓 的 社会 工程 学 , 当 收 到 一 封 带 着 病毒 的 求职 邮件 时 ,大 多 数 人 都 
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会 去 点 击 。 对 于 企业 用 户 来 说 ,威胁 主要 集中 在 服务 器 和 大 型 应 用 软件 上 ; 而 对 个 人 用 户 ， 
主要 是 防范 第 二 种 缺陷 。 
(1) 企业 类 用 户 蠕虫 病毒 的 防范 。 
当前 ,企业 网 络 主要 应 用 于 文件 和 打印 服务 共享 、 办 公 自 动 化 系统 \ 企 业 管 理 信息 系统 
(MIS) Internet 应 用 等 领域 。 蠕 虫 病毒 可 以 充分 利用 网 络 快 速 传播 达到 阻塞 网 络 的 目的 。 
企业 在 充分 利用 网 络 进 行业 务 处 理 时 ,要 考虑 病毒 防范 的 问题 ,以 保证 关系 企业 命运 的 业务 
数据 的 完整 性 和 可 用 性 。 
企业 防治 蠕虫 病毒 需要 考虑 病毒 的 查 杀 能 力 、 监 控 能 力 和 新 病毒 的 反应 能 力 等 问题 。 
而 企业 防 病 毒 的 一 个 重要 方面 就 是 管理 策略 。 因 此 企业 可 采取 如 下 措施 防范 蠕虫 病毒 。 
。 加 强 网 络 管理 员 的 安全 管理 水 平 ,提高 安全 意识 。 由 于 蠕虫 病毒 利用 的 是 系统 漏 
洞 ,所 以 需要 在 第 一 时 间 内 保持 系统 和 应 用 软件 的 安全 性 ,保持 各 种 操作 系统 和 应 
用 软件 的 更 新 。 同 时 ,企业 用 户 的 管理 水 平和 安全 意识 也 应 越 来 越 高 。 
。 建立 病毒 检测 系统 。 能 够 在 第 一 时 间 内 检测 到 网 络 的 异常 和 病毒 攻击 。 
。 建立 应 急 响 应 机 制 ,将 风险 减少 到 最 低 。 由 于 蠕虫 病毒 爆发 的 突然 性 ,可 能 在 病毒 
被 发 现时 已 经 草 延 到 了 整个 网 络 , 所 以 建立 一 个 紧急 响应 机 制 是 很 有 必要 的 ,在 病 
毒 爆发 的 第 一 时 间 即 能 提供 解决 方案 。 
。 建立 备份 和 容 灾 系 统 。 对 于 数据 库 和 数据 系统 ,必须 采用 定期 备份 .多 机 备份 和 容 
灾 等 措施 ,防止 意外 灾难 下 的 数据 丢失 。 
(2) 个 人 类 用 户 蠕虫 病毒 的 防范 。 
个 人 用 户 类 蠕虫 病毒 一 般 通 过 电子 邮件 和 恶意 网 页 进行 传播 。 这 些 蠕虫 病毒 对 个 人 用 
户 的 威胁 最 大 ,同时 也 最 难以 根除 ,造成 的 损失 也 更 大 。 对 于 通过 电子 邮件 传播 的 晴 虫 病 
毒 ,通常 利用 的 是 社会 工程 学 欺骗 ,以 各 种 各 样 的 欺骗 手段 诱惑 用 户 点 击 的 方式 进行 传播 。 
恶意 网 页 是 一 段 黑 客 代码 程序 , 它 内 嵌 在 网 页 中 , 当 用 户 在 不 知情 的 情况 下 将 其 打开 时 , 病 
毒 就 会 发 作 。 很 多 黑客 网 站 上 还 会 出 现 关于 使 用 网 页 进行 破坏 的 技术 论坛 ,并 提供 破坏 程 
序 代码 下 载 ,从 而 可 造成 恶意 网 页 的 大 面积 泛滥 ,也 使 越 来 越 多 的 用 户 遭 受 损失 。 防 范 个 人 
用 户 类 蠕虫 病毒 可 采取 以 下 措施 。 
。 购买 合适 的 杀毒 软件 。 
。 经 常 升级 病毒 库 。 
。 提高 防 杀 病毒 的 意识 。 
。 不 随意 查看 陌生 邮件 ,尤其 是 带 有 附件 的 邮件 。 
可 以 预见 ,蠕虫 未 来 将 会 给 网 络 带 来 重大 灾难 。 对 蠕虫 病毒 的 网 络 传播 性 、 网 络 流 量 特 
性 建立 相应 的 数学 模型 并 进行 分 析 , 是 网 络 安全 专家 今后 研究 的 重要 课题 之 一 。 
4) 典型 蠕虫 病毒 的 清除 
“熊猫 烧香 ”是 一 种 经 过 多 次 变种 的 “蠕虫 病毒 ",2007 年 年 初 肆虐 网 络 , 它 除 通过 网 站 
毒 感染 用 户 之 外 ,还 会 在 局 域 网 中 传播 ,在 极 短 的 时 间 内 就 可 感染 上 千 台 计算 机 ,严重 时 
可 以 导致 网 络 次 痪 。 中 毒 的 计算 机 上 会 出 现 * 熊 猫 烧 香 "图案 。 
“熊猫 烧香 "病毒 感染 系统 的 . exe. com. f. src. html. asp 文件 ,添加 病毒 网 址 ,导致 用 户 
一 旦 打开 这 些 网 页 文件 ,IE 就 会 自动 连接 到 指定 的 病毒 网 址 中 下 载 病毒 。 在 硬盘 各 个 分 区 
下 生成 autorun. inf 和 setup. exe 文件 ,可 以 通过 U 盘 和 移动 硬盘 等 方式 进行 传播 ,并 且 利 


用 Windows 系统 的 自动 播放 功能 来 运行 ,搜索 硬盘 中 的 . exe 可 执行 文件 并 感染 。 它 还 可 
以 通过 共享 文件 夹 .用户 简单 密码 等 多 种 方式 进行 传播 。 

中 毒 的 计算 机 通常 会 出 现 如 下 症状 : 计算 机 出 现 蓝屏 、 频 繁重 启 以 及 系统 硬盘 中 的 数 
据 文件 被 破坏 ; 计算 机 中 所 有 网 页 文件 的 尾部 都 被 添加 了 病毒 代码 ; 删除 常用 杀毒 软件 在 
注册 表 中 的 启动 项 或 服务 ,终止 杀毒 软件 进程 ; 终止 部 分 安全 辅助 工具 的 进程 ,如 Windows 
任务 管理 器 、IceSword; 破解 计算 机 Administrator 账号 的 弱 口 令 , 并 用 GameSetup. exe 进 
行 复制 传播 ; 修改 注册 表 键 值 ,导致 不 能 查看 系统 文件 和 隐藏 文件 ; 删除 扩展 名 为 . gho 的 
系统 备份 文件 。 

根据 熊猫 烧香 病毒 的 表现 特征 ,可 以 用 手工 和 使 用 专 杀 工具 清除 病毒 。 使 用 专 杀 工具 
清除 病毒 操作 简单 ,只 需 下 载 专 杀 工具 ,执行 杀毒 操作 即 可 。 手 工 清除 该 病毒 可 采取 如 下 
操作 。 

(1) 断 网 打 补 丁 。 用 户 先 到 微软 的 官方 网 站 下 载 相应 的 漏洞 补丁 程序 ,然后 断 开 网 络 ， 
运行 补丁 程序 , 当 补 丁 安装 完成 后 再 连接 上 网 。 

(2) 结束 病毒 进程 。 由 于 中 毒 计算 机 上 的 Windows 任务 管理 器 、IceSword 都 已 经 无 法 
运行 ,因此 建议 下 载 一 个 Process Explorer 备用 。 查 找 名 为 FuckJacks. exe 进程 、setup. exe 
进程 或 者 spoolsv. exe 进程 ,找到 后 选择 这 些 进 程 并 结束 这 些 进程 。 

(3) 删除 病毒 文件 。 病 毒 感染 系统 时 会 在 根 分 区 目录 下 产生 名 为 setup. exe、 
System 内 FuckJacks. exe、 % System%% Driversspoclsv. exe、.GameSetup. exe 的 病毒 文件 ， 
找到 这 些 文件 ,然后 将 其 删除 。 

(4) 删除 注册 表 键 值 ,恢复 文件 夹 选项 中 的 “显示 所 有 隐藏 文件 ”和 ”显示 系统 文件 ”。 
在 “运行 "窗口 中 输入 regedit 然后 按 Enter 键 调 出 注册 表 编 辑 器 ,找到 HKEY_LOCAL_ 
MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run 项 中 的 病毒 键 值 
%System% FuckJacks. exe, 然后 将 其 直接 删除 。 找 到 HKEY_LOCAL_MACHINE\ 
SOFTWARE\Microsoft\ Windows\CurrentVersion\Explorer\ Advanced\ Folder\ Hidden\ 
SHOWALL 后 ,在 其 上 右 击 ,新 建 Dword 值 ,将 其 值 命名 为 CheckValue, 修 改 它 的 键 值 为 1 
后 退出 注册 表 编 辑 器 。 

(5) 重新 安装 杀毒 软件 ,恢复 杀毒 软件 的 功能 。 

(6) 运行 杀毒 软件 并 进行 全 盘 扫描 ,修复 感染 的 可 执行 程序 及 网 页 格式 文件 。 

2. UU 盘 病 毒 的 防范 与 清除 

前 已 提 及 ,病毒 进入 网 络 系统 的 主要 传播 途径 之 一 就 是 如 U 盘 移动 硬盘 、 存 储 卡 等 可 
移动 存储 设备 。U 盘 病 毒 顾名思义 就 是 通过 U 盘 传播 的 病毒 。 随 着 U 盘 移动 硬盘 、 存 储 
卡 等 移动 存储 设备 的 普及 ,U 盘 病毒 已 经 成 为 比较 流行 的 计算 机 病毒 之 一 。U 盘 病 毒 通过 
隐藏 .复制 .传播 三 个 步骤 来 实现 对 计算 机 及 其 系统 和 网 络 的 攻击 。 

1) U 盘 病毒 的 主要 特征 

U 盘 病 毒 的 隐藏 方式 有 很 多 种 ,如 作为 系统 文件 隐藏 ,或 伪装 成 其 他 文件 ,或 藏 于 系统 
文件 夹 中 ,或 利用 Windows 的 漏洞 等 。 当 U 盘 插 入 到 计算 机 中 使 用 时 ,U 盘 病 毒 就 会 将 已 
经 复制 的 文件 传送 到 指定 的 邮箱 或 者 木马 病毒 控制 端 。 当 将 中 毒 的 U 盘 揪 入 到 一 台 没 有 
任何 病毒 的 计算 机 上 后 ,使 用 者 双击 打开 U 盘 文件 进行 浏览 时 , Windows 默认 会 以 
autorun. inf 文件 中 的 设置 去 运行 U 盘 中 的 病毒 程序 .此 时 Windows 操作 系统 就 被 感染 了 。 











网 络 长 态 技 太 


计算 机 网 络 安 会 (第 3 版 ) 





其 主要 特征 表现 如 下 。 

(1) U 盘 速 度 变 得 极为 缓慢 , 且 双 击 U 盘 盘 符 时 无 法 打开 , 右 击 U 盘 盘 符 在 快捷 菜单 
中 选择 “打开 ”命令 也 不 能 实现 ,但 在 资源 管理 器 窗口 中 却 可 以 打开 其 盘 符 , 用 WinRAR 打 
开 U 盘 ,在 其 中 会 发 现 u. vbe 文件 和 类 似 回收 站 图 标的 文件 。 

(2) 有 些 系统 右键 菜单 中 多 了 “自动 播放 ”、Open、Browser 等 命令 项 目 ,U 盘 无 法 正常 
拔 插 。 

(3) 所 有 EXE 程序 都 被 关联 , 且 快 捷 方 式 图 标 全 换 成 类 似 . com 程序 的 默认 图 标 。 

(4) U 盘 中 的 所 有 文件 夹 都 变 成 * . exe 格式 文件 或 快捷 方式 文件 , 且 不 能 正常 打开 。 

(5) 选择 “开始 "一 "运行 ”命令 ,在 “运行 "对话 框 中 输入 cmd 进入 命令 行 模式 ,输入 C， 
按 Enter 键 ,进入 C 盘 根 目 录 后 ,输入 dir/a 查看 所 有 文件 ,会 出 现 Autorun. inf 和 RavMon. exe 
两 个 文件 。 

2) U 盘 病 毒 的 防范 

采取 如 下 措施 可 防范 U 盘 病 毒 。 

(1) 关闭 自动 化 播放 功能 。 在 Windows 下 选择 “开始 "菜单 一 “运行 "命令 ,输入 
“gpedit. msc” 命 令 , 进 入 “组 策略 ”窗口 ,展开 左 窗 格 的 “本 地 计算 机 策略 \ 计 算 机 配置 \ 管 理 
模板 \ 系 统 " 项 ,在 右 窗 格 的 “设置 "标题 下 ,双击 “关闭 自动 播放 ”进行 设置 。 

(2) 修改 注册 表 让 U 盘 病 毒 禁 止 自动 运行 。 虽然 关闭 了 UU 盘 的 自动 播放 功能 ,但 是 
U 盘 病 毒 依然 会 在 盘 符 被 双击 时 人 侵 系 统 , 可 以 通过 修改 注册 表 来 阻 断 U 盘 病 毒 。 操 作 方 
法 : 打开 注册 表 编 辑 器 ,找到 下 列 注册 项 :HKEY_CURRENT_USER\Software\Microsoft\ 
Windows\ CurrentVersion\Explorer\MountPoints2, 右 击 MountPoints2 选项 ,选择 “权限 ” 
命令 ,针对 该 键 值 的 访问 权限 进行 限制 ,从 而 隔断 病毒 的 入侵 。 

(3) 打开 U 盘 时 请 使 用 右键 方式 打开 ,不 要 直接 双击 U 盘 盘 符 。 具 体操 作 : 右 击 U 盘 
盘 符 选择 “打开 ”命令 或 者 通过 “资源 管理 器 ”窗口 进入 。 因 为 双击 实际 上 会 立刻 激活 病毒 ， 
这 样 做 可 以 避免 中 毒 。 

(4) 创建 Autorun. inf 文件 夹 。 可 以 在 所 有 磁盘 中 创建 名 为 Autorun. inf 的 文件 夹 , 如 
果 有 病毒 侵入 时 ,病毒 就 无 法 自动 创建 同名 的 Autorun. inf 文件 了 ,即使 双击 盘 符 也 不 会 运 
行 病毒 ,从 而 控制 U 盘 病 毒 的 传播 。 同 时 再 把 自己 创建 的 Autorun. inf 文件 设置 为 只 读 、 隐 
藏 .系统 文件 属性 。 

(5) 安装 U 盘 杀 毒 监控 软件 和 防火 墙 。 通 过 下 载 安装 USBCleaner、USBStarter、 
360 安全 卫士 金山 U 盘 专 杀 等 软件 ,实现 对 U 盘 的 实时 监控 和 查 杀 。 

(6) 备份 注册 表 。 一 般 病 毒 都 会 通过 注册 表 起 作用 ,即使 已 杀毒 ,注册 表 还 是 会 被 筑 
改 , 如 果 有 了 备份 重新 导 和 人 即 可 恢复 。 

3) U 盘 病 毒 的 清除 

可 以 利用 杀毒 软件 清除 U 盘 病毒 或 手动 清除 U 盘 病 毒 。 

(1) 杀毒 软件 清除 病毒 。 利 用 杀毒 软件 和 U 盘 病 毒 专 杀 工 具 可 以 查 杀 U 盘 病 毒 并 永 
久 免 疫 。 

(2) 手动 清除 病毒 。 在 记事 本 里 打开 Autorun. inf 查看 OPEN 后 面 病毒 的 文件 名 , 找 
到 它 从 TU 盘 根 目录 下 直接 删除 ,随后 删除 Autorun. inf 文件 。 进 入 安全 模式 ,在 运行 下 输入 
regedit 进入 注册 表 ,然后 在 ROOT 根 目录 下 进入 DRIVE. 把 SHELL 下 的 所 有 键 值 删除 ， 








最 后 在 盘 文 件 夹 设置 选项 下 打开 隐藏 ,再 删除 Autorun 产生 的 隐藏 文件 。 
6.3 木马 攻击 与 防范 


特洛伊 木马 (Trojan horse) 简 称 木马 ,是 根据 古 希 腊 神 话 中 的 木马 命名 的 。 谈 到 木马 ， 

人 们 就 会 想到 病毒 ,但 它 与 传统 病毒 不 同 。 木 马 通常 并 不 像 传统 病毒 那样 感染 文件 ,而 是 一 

恶意 代码 ,一 般 是 以 寻找 后 门 .窃取 密码 和 重要 文件 为 主 , 还 可 以 对 计算 机 系统 进行 跟踪 

监视 ,控制 ,查看 、 修 改 资料 等 操作 ,具有 很 强 的 隐蔽 性 、 突 发 性 和 攻击 性 。 从 表面 上 看 木马 

程序 没什么 特别 之 处 ,但 是 实际 上 却 隐 含 着 恶意 企图 。 在 计算 机 应 用 中 ,木马 一 直 是 黑客 研 

究 的 主要 内 容 。 使 用 木马 是 黑客 进行 网 络 攻击 的 最 重要 的 手段 之 一 ,因此 认识 和 了 解 木马 
的 基本 知识 ,采用 正确 的 技术 和 方法 防范 木马 攻击 尤为 重要 。 


6.3.1 木马 基本 知识 


1. 木马 的 概念 

木马 是 一 种 带 有 恶意 性 质 的 远程 控制 软件 ,通常 悄悄 地 在 寄宿 主机 上 运行 ,在 用 户 毫 无 
察觉 的 情况 下 使 攻击 者 获得 远程 访问 和 控制 系统 的 权限 。 木 马 的 安装 和 操作 都 是 在 隐蔽 之 
中 完成 的 。 攻 击 者 经 常 把 木马 隐藏 在 一 些 游戏 或 小 软件 之 中 , 诱 使 粗心 的 用 户 在 自己 的 机 
器 上 运行 。 最 常见 的 情况 是 ,用 户 从 不 正规 的 网 站 上 下 载 和 运行 了 带 恶 意 代 码 的 软件 ,或 者 
不 小 心 点 击 了 带 有 恶意 代码 的 邮件 附件 。 

木马 的 传播 方式 主要 有 三 种 : 一 种 是 通过 E-mail, 控 制 端 将 木马 程序 以 附件 形式 附着 
在 邮件 中 发 送出 去 , 收 件 人 只 要 打开 附件 就 会 感染 木马 ; 第 二 种 是 软件 下 载 ,一 些 非 正式 的 
网 站 以 提供 软件 下 载 的 名 义 , 将 木马 捆绑 在 软件 安装 程序 上 ,程序 下 载 后 一 旦 被 运行 ,木马 
就 会 自动 安装 ; 第 三 种 是 通过 会 话 软件 (如 QQ) 的 “传送 文件 ”进行 传播 ,不 知情 的 网 友 一 
旦 打开 带 有 木马 的 文件 就 会 感染 木马 。 

2. 木马 的 原理 

木马 程序 与 其 他 病毒 程序 一 样 都 需要 在 运行 时 隐藏 自己 的 行踪 。 但 与 传统 的 文件 型 病 
毒 寄生 于 正常 可 执行 程序 体内 ,通过 寄主 程序 的 执行 而 被 执行 的 方式 不 同 , 大 多 数 木 马 程序 
都 有 一 个 独立 的 可 执行 文件 。 木 马 通常 不 容易 被 发 现 ,因为 它 一 般 是 以 一 个 正常 应 用 的 身 
份 在 系统 中 运行 的 。 

木马 程序 一 般 包括 客户 端 (Client) 部 分 和 服务 器 端 (Server) 部 分 ,也 采用 C/S 工作 模 
式 。 客 户 端 就 是 木马 控制 者 在 本 地 使 用 的 各 种 命令 的 控制 台 , 服 务 器 端 则 在 他 人 的 计算 机 
中 运行 ,只 有 运行 过 服务 器 端的 计算 机 才能 够 完全 受 控 。 客 户 端 放置 在 木马 控制 者 的 计算 
机 中 ,服务 器 端 放置 在 被 入 侵 的 计算 机 中 ,木马 控制 者 通过 客户 端 与 被 入 侵 计 算 机 的 服务 器 
端 建立 远程 连接 。 一 旦 连接 建立 ,木马 控制 者 就 可 以 通过 对 被 人 侵 计 算 机 发 送 指令 来 传输 
和 修改 文件 。 攻 击 者 利用 一 种 称 为 绑 定 程序 的 工具 将 服务 器 部 分 绑 定 到 某 个 合法 软件 上 ， 
诱 使 用 户 运 行 该 合法 软件 。 只 要 用 户 运 行 该 软件 ,木马 的 服务 器 部 分 就 会 在 用 户 毫 无 知觉 
的 情况 下 完成 安装 过 程 。 通 常 ,木马 的 服务 器 部 分 都 是 可 以 定制 的 ,攻击 者 可 以 定制 的 项 目 
一 般 包括 服务 器 运行 的 IP 端口 号 程序 启动 时 机 、 如 何 发 出 调用 、 如 何 隐 身 、 蚌 否 加 密 等 。 
另外 ,攻击 者 还 可 以 设置 登录 服务 器 的 密码 .确定 通信 方式 。 服 务 器 向 攻击 者 通知 的 方式 可 
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能 是 发 送 一 个 Email 宣告 自己 当前 已 成 功 接管 的 计算 机 ,或 者 可 能 是 联系 某 个 隐藏 的 
Internet 交流 通道 ,广播 被 侵占 的 计算 机 的 IP 地 址 。 另 外 , 当 木 马 的 服务 器 部 分 被 启动 之 
后 , 它 还 可 以 直接 与 攻击 者 计算 机 上 运行 的 客户 程序 通过 预先 定义 的 端口 进行 通信 。 不 管 
木马 的 服务 器 与 客户 程序 如 何 建 立 联系 ,有 一 点 是 不 变 的 ,就 是 攻击 者 总 是 利用 客户 程序 向 
服务 器 程序 发 送 命令 ,达到 操控 用 户 计算 机 的 目的 。 

3. 木马 的 危害 

木马 与 一 般 网 络 病毒 的 不 同 之 处 是 ,黑客 通过 木马 可 从 网 络 上 实现 对 用 户 计算 机 的 控 
制 , 如 删除 文件 ,获取 用 户 信息 、 远 程 关 机 等 。 

木马 是 一 种 远程 控制 工具 ,以 简便 、 易 行 , 有 效 而 深 受 黑客 青睐 。 木 马 主要 以 网 络 为 依 
托 进 行 传播 , 偷 取 用 户 隐私 资料 是 其 主要 目的 。 木 马 也 是 一 种 后 门 程 序 , 它 会 在 用 户 计算 机 
系统 里 打开 一 个 “后门 ”, 黑 客 就 会 从 这 个 被 打开 的 特定 ”后门 ?进入 系统 ,然后 就 可 以 随心 所 
和 欲 操控 用 户 的 计算 机 了 。 可 以 说 ,黑客 通过 木马 进入 到 用 户 计算 机 后 ,用 户 能 够 在 自己 的 计 
算 机 上 做 什么 ,黑客 同样 也 能 做 什么 。 黑 客 可 以 读 、 写 .保存 .删除 文件 ,可 以 得 到 用 户 的 隐 
私 、 密 码 , 甚 至 用 户 鼠 标 在 计算 机 上 的 每 一 下 移动 ,他 都 了 如 指 掌 。 黑 客 还 能 够 控制 鼠标 和 
键盘 去 做 他 想 做 的 任何 事 , 例 如 打开 用 户 珍藏 的 好 友 照 片 , 然 后 将 其 永久 删除 。 也 就 是 说 ， 
用 户 计算 机 一 旦 感染 上 木马 , 它 就 变 成 了 一 台 倪 偶 机 ,对 方 可 以 在 用 户 计算 机 上 上 传 下 载 文 
件 ,偷窥 用 户 的 私人 文件 , 偷 取 用 户 的 各 种 密码 及 口令 信息 等 。 感 染 了 木马 的 系统 用 户 的 一 
切 秘密 都 将 暴露 在 木马 控制 者 面前 ,隐私 将 不 复 存 在 。 

木马 控制 者 既 可 以 随心 所 和 欲 地 查看 已 被 人 侵 的 计算 机 ,也 可 以 用 广播 方式 发 布 命令 , 指 
示 所 有 在 他 控制 下 的 木马 一 起 行动 ,或 者 向 更 广泛 的 范围 传播 ,或 者 做 其 他 危险 的 事情 。 攻 
击 者 经 常会 利用 木马 侵占 大 量 的 计算 机 ,然后 针对 某 一 要 害 主机 发 起 分 布 式 拒绝 服务 
(DDoS) 攻 击 。 

木马 是 一 种 恶意 代码 ,除了 具有 与 其 他 恶意 代码 一 样 的 特征 (如 破坏 性 、 隐 藏 性 ) 外 ,还 
有 具有 欺骗 性 控制 性 、 自 启动 、 自 动 恢复 、 打 开 “ 后 门 " 和 功能 特殊 性 等 特征 。 近 年 来 , 随 着 网 
络 游 戏 . 网 上 银行 .QQ 聊天 工具 等 的 应 用 ,木马 越 来 越 猩 狐 。 这 些 木马 利用 操作 系统 的 接 
口 ,不 断 地 在 后 台 寻 找 软件 的 登录 窗 体 。 一 些 木 马 会 找到 窗 体 中 的 用 户 名 和 密码 的 输入 框 ， 
窃取 用 户 输入 的 用 户 名 和 密码 。 还 有 一 些 木 马 会 监视 键盘 和 鼠标 的 动作 ,根据 这 些 动作 判 
断 当 前 正在 输入 的 窗 体 是 否 是 游戏 的 登录 界面 ,如 果 是 ,就 将 键盘 输入 的 数据 进行 复制 并 将 
信息 通过 网 络 发 送 到 黑客 的 邮箱 中 。 


6.3.2 木马 预防 和 清除 


1. 木马 的 预防 措施 

木马 对 计算 机 用 户 的 信息 安全 构成 了 极 大 威胁 ,做 好 木马 的 防范 工作 已 刻不容缓 。 用 
户 必 须 提高 对 木马 的 警惕 性 ,尤其 是 网 络 游戏 玩家 更 应 该 提高 对 木马 的 关注 。 

尽管 人 们 掌握 了 很 多 检测 和 清除 木马 的 方法 及 软件 工具 ,但 这 也 只 是 在 木马 出 现 后 采 
取 的 被 动 的 应 对 措施 。 最 好 的 情况 是 不 出 现 木马 ,这 就 要 求人 们 平时 对 木马 要 有 预防 意识 ， 
做 到 防 患 于 未 然 。 下 面 介绍 几 种 简单 适用 的 预防 木马 的 方法 和 措施 。 

1) 不 随意 打开 来 历 不 明 的 邮件 ,阻塞 可 疑 邮 件 

现在 许多 木马 都 是 通过 邮件 来 传播 的 。 当 用 户 收 到 来 历 不 明 的 邮件 时 ,请 不 要 盲目 打 





开 , 应 尽快 将 其 删除 ,同时 要 强化 邮件 监控 系统 , 拒 收 垃圾 邮件 。 可 通过 设置 邮件 服务 器 和 
客户 端 来 阻塞 带 有 可 疑 附件 的 邮件 。 

2) 不 随意 下 载 来 历 不 明 的 软件 

用 户 应 养 成 一 种 良好 的 习惯 ,就 是 不 随便 在 网 上 下 载 软件 ,而 是 花 钱 购买 正版 软件 ,或 
在 一 些 正规 有 良好 信誉 的 网 站 上 下 载 软件 。 在 安装 下 载 的 软件 之 前 最 好 使 用 杀毒 软件 查 
看 是 否 存在 病毒 ,确认 安全 之 后 再 进行 安装 。 

3) 及 时 修补 漏洞 和 关闭 可 疑 的 端口 

一 般 木 马 都 是 通过 漏洞 在 系统 上 打开 端口 留 下 后 门 的 ,在 修补 漏洞 的 同时 要 对 端口 进 
行 检查 ,把 可 疑 的 端口 关闭 。 

4) 尽量 少 用 共享 文件 夹 

尽量 少 地 使 用 共享 文件 夹 ,如果 必须 使 用 , 则 应 设置 账号 和 密码 保护 。 不 要 将 系统 目录 
设置 成 共享 ,最 好 将 系统 下 默认 的 共享 目录 关闭 。 

5) 运行 实时 监控 程序 

用 户 上 网 时 最 好 运行 木马 实时 监控 程序 和 个 人 防火 墙 , 并 定时 对 系统 进行 木马 检测 。 

6) 经 常 升级 系统 和 更 新 病毒 库 

经 常 关注 厂商 网 站 的 安全 公告 ,及 时 利用 新 发 布 的 补丁 程序 对 系统 漏洞 进行 修补 ,及 时 
更 新 病毒 库 等 。 

7) 限制 使 用 不 必要 的 具有 传输 能 力 的 文件 

限制 使 用 诸如 点 对 点 传输 文件 .音乐 共享 文件 .实时 通信 文件 等 ,因为 这 些 程序 经 常 被 
用 来 传播 恶意 代码 。 

2. 木马 的 检测 和 清除 

虽然 木马 程序 千变万化 ,但 其 人 侵 手 段 却 差 不 多 ,一般 都 是 在 文件 中 做 文章 ,如 在 文件 
Win. ini、System. ini、Winstart. bat 中 加 载 、 利 用 * .ini 文件、 修改 文件 关联 和 捆绑 文件 等 。 

可 以 通过 查看 系统 端口 开放 的 情况 .系统 服务 情况 .系统 任务 运行 情况 .网卡 的 工作 情 
况 、 系 统 日 志 及 运行 速度 有 无 异常 等 对 木马 进行 检测 。 在 检测 到 计算 机 感染 木马 后 ,就 要 根 
据 木 马 的 特征 对 其 进行 清除 。 另 外 ,还 应 查看 是 否 有 可 疑 的 启动 程序 或 可 疑 的 进程 存在 ,是 
否 修改 了 Win. ini、System. ini 系统 配置 文件 和 注册 表 。 如 果 存 在 可 疑 的 程序 和 进程 ,就 可 
按照 特定 的 方法 进行 清除 。 

1) 查看 开放 端口 

当前 最 为 常见 的 木马 通常 是 基于 TCP/UDP 协议 进行 客户 端 与 服务 器 端 之 间 的 通信 
的 。 因 此 ,可 以 通过 查看 在 本 机 上 开放 的 端口 ,检查 是 否 有 可 疑 的 程序 打开 了 某 个 可 疑 的 端 
口 。 例 如 多 冰河 ”木马 使 用 的 监听 端口 是 7626,Back Orifice2000 使 用 的 监听 端口 是 54320 
等 。 如 果 查 看 到 有 可 疑 的 程序 在 利用 可 疑 的 端口 进行 连接 , 则 很 有 可 能 就 是 感染 了 木马 。 
查看 端口 的 方法 通常 有 以 下 几 种 。 

。 使 用 Windows 本 身 自 带 的 netstat 命令 。 

。 使 用 Windows 系统 的 命令 行 工具 fport。 

。 使 用 图 形 化 界面 工具 Active Ports 。 

2) 查看 和 恢复 win. ini 和 system. ini 系统 配置 文件 

查看 Win. ini 和 System. ini 文件 是 否 有 被 修改 的 地 方 。 例 如 有 的 木马 通过 修改 Win. ini 
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文件 中 windows 节 的 “load 二 file. exe, run 二 file. exe” 语 句 进 行 自 动 加 载 ,还 可 能 修改 
System. ini 中 的 boot 节 , 实 现 木 马 加 载 。 例如 “ 妖 之 吻 ” 木 马 ,将 “Shell== Explorer. exe” 
(Windows 系统 的 图 形 界面 命令 解释 器 ) 修 改 成 “Shell 二 yzw. exe” ,在 计算 机 每 次 启动 后 都 
会 自动 运行 yzw. exe 程序 。 此 时 可 以 把 system. ini 恢复 为 原始 配置 ,即将 “Shell 二 yzw. exe” 修 
改 回 “Shell 王 Explorer. exe” ,再 删除 木马 文件 即 可 。 

3) 查看 启动 程序 并 删除 可 疑 的 启动 程序 

如 果木 马 自 动 加 载 的 文件 是 直接 通过 在 Windows 菜单 上 自 定义 添加 的 ,可 在 “开始 ”一 
“程序 ”>“ 启 动 " 菜 单 命令 中 查看 到 。 通 过 这 种 方式 使 文件 自动 加 载 时 ,一 般 都 会 将 其 存放 
在 注册 表 中 以 下 四 个 位 置 上 。 

HKEY_ CURRENT _ USER\ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \ 
ShellFolders 

HKEY_ CURRENT _ USER \ Software\ Microsoft \ Windows \ CurrentVersion \ Explorer \ 
UserShellFolders 

HKEY _ LOCAL _ MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ 
Explorer\ UserShellFolders 

HKEY _ LOCAL _ MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ 
Explorer\ShellFolders 

通过 检查 是 否 有 可 疑 的 启动 程序 , 便 可 很 容易 地 判断 是 否 感染 了 木马 。 如 果 有 木马 存 
在 ,除了 要 查 出 木马 文件 并 将 其 删除 外 ,还 要 将 木马 的 自动 启动 程序 删除 。 

4) 查看 系统 进程 并 停止 可 疑 的 系统 进程 

木马 即使 青 狐 独 , 也 是 一 个 应 用 程序 ,需要 进程 来 执行 。 可 以 通过 查看 系统 进程 来 推断 
木马 是 否 存在 。 在 Windows 系统 下 进入 任务 管理 器 ,可 看 到 系统 正在 运行 的 全 部 进程 。 如 
果 用 户 对 系统 非常 熟悉 ,对 系统 运行 的 每 个 进程 都 知道 它 是 什么 ,那么 在 木马 运行 时 ,就 能 
很 容易 地 判断 出 哪个 是 木马 程序 的 活动 进程 。 

在 对 木马 进行 清除 时 ,首先 要 停止 木马 程序 的 系统 进程 。 例 如 Hack. Rbot 除了 将 自身 
复制 到 一 些 固定 的 Windows 自 启动 项 中 外 ,还 在 进程 中 运行 wuamgrd. exe 程序 ,修改 了 注 
册 表 ,以 便 其 可 随时 自 启动 。 在 看 到 有 木马 程序 运行 时 ,需要 马上 停止 系统 进程 ,并 进行 下 
一 步 的 操作 ,修改 注册 表 和 清除 木马 文件 。 

5) 查看 和 还 原 注册 表 

木马 一 旦 被 加 载 ,一 般 都 会 对 注册 表 进 行 修改 。 通 常 ,木马 在 注册 表 中 实现 加 载 文 件 是 
在 以 下 位 置 上 。 

HKEY_LOCAL MACHINE\Software\ Microsoft\Windows\CurrentVersion\Run 

HKEY_LOCAL MACHINE\Software\ Microsoft\ Windows\CurrentVersionN\RunOnce 

HKEY_LOCAL MACHINE\Software\ Microsoft\ Windows\CurrentVersion\RunServices 

HKEY_LOCAL MACHINE\ Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 

HKEY_CURRENT_USER\Software\ Microsoft\ Windows\CurrentVersion\ Run\RunOnce 

HKEY_CURRENT_USER\Software\ Microsoft\ Windows\CurrentVersion\ RunServices 

此 外 ,在 注册 表 中 的 HKEY_ CLASSES_ROOTANexefile\ shell\ open \ command 一 
""%1"% x "处 ,如 果 其 中 的 "%1" 被 修改 为 木马 .那么 每 启动 一 次 该 可 执行 文件 木马 就 会 被 


启动 一 次 。 

查看 注册 表 ,还 原 注 册 表 中 木马 修改 的 部 分 。 例 如 , Hack. Rbot 病毒 已 向 注册 表 的 相 
关 目 录 中 添加 键 值 "MicrosoftUpdate" 二 "wuamgrd. exe" ,以 便 其 可 随机 自 启 动 。 这 就 需要 
先进 入 注册 表 ,将 键 值 "MicrosoftUpdate" 二 "wuamgrd. exe" 删除 掉 。 注 意 : 有 些 木马 可 能 
会 不 允许 执行 . exe 文件 ,这 样 就 要 先 将 regedit. exe 改 成 系统 能 够 运行 的 文件 ,例如 可 以 改 
成 regedit. com 。 

6) 使 用 杀毒 软件 和 木马 查 杀 工具 检测 和 清除 木马 

最 简单 的 检测 和 删除 木马 的 方法 是 安装 木马 查 杀 软件 。 常 用 的 木马 查 杀 工具 有 KV 
3000 ,瑞星 、TheCleaner、 木 马克 星 、 木 马 终结 者 等 ,这 些 工具 软件 都 可 以 进行 木马 的 检测 和 
查 杀 。 此 外 ,用 户 还 可 使 用 其 他 木马 查 杀 工 具 对 木马 进行 查 杀 。 

多 数 情况 下 由 于 杀毒 软件 和 查 杀 工具 的 升级 慢 于 木马 的 出 现 ,因此 学 会 手工 查 杀 木马 
非常 有 必要 。 手 工 查 杀 木马 的 方法 如 下 。 

(1) 检查 注册 表 。 查 看 HKEY_LOCAL_MACHINE\Software\ Microsoft\ Windows\ 
CurrentVersion 和 HKEY _ CURRENT _ USER \ Software \ Microsoft \ Windows \ 
CurrentVersion 下 所 有 以 Run 开头 的 键 值 名 下 有 没有 可 疑 的 文件 名 。 如 果 有 ,就 需要 删除 
相应 的 键 值 ,再 删除 相应 的 应 用 程序 。 

(2) 检查 启动 组 。 虽 然 启 动 组 不 会 十 分 隐蔽 ,但 却 是 自动 加 载运 行 的 好 场所 ,因此 可 能 
有 木马 在 这 里 隐藏 。 启 动 组 对 应 的 文件 夹 为 C:\windows\startmenu\programs\startup, 要 
注意 经 常 对 其 进行 检查 ,一旦 发 现 木 马 ,应 及 时 清除 。 

(3) Win. ini 以 及 System. ini 也 是 木马 喜欢 的 隐蔽 场所 。 正 常情 况 下 Win. ini 的 
Windows 小 节 下 的 load 和 run 后 面 没有 程序 ,如 果 在 这 里 发 现 有 程序 就 要 小 心 了 , 它 很 有 
可 能 是 木马 服务 端 程序 ,应 尽快 对 其 进行 检查 并 清除 。 








马 也 很 可 能 隐藏 在 这 里 。 

(5) 如 果 是 由 .exe 文件 启动 ,那么 运行 该 程序 ,查看 木马 是 否 被 装 和 人 内存, 端 口 是 否 被 
打开 。 如 果 是 , 则 说 明 要 么 是 该 文件 启动 了 木马 程序 ,要 么 是 该 文件 捆绑 了 木马 程序 。 只 要 
将 其 删除 ,再 重新 安装 一 个 相同 的 程序 即 可 。 


6.4 网 络 攻击 与 防范 


6.4.1 网 络 攻 击 概述 


任何 以 干扰 \ 破 坏 网 络 系统 为 目的 的 非 授 权 行为 都 可 称 为 网 络 攻击 。 对 网 络 攻击 有 两 
种 定义 : 一 种 是 指 攻击 仅仅 发 生 在 和 人 侵 行为 完成 , 且 和 人 侵 者 已 在 目标 网 络 中 ; 另 一 种 是 指 
可 能 使 网 络 系统 受到 破坏 的 所 有 行为 。 网 络 攻击 可 对 网 络 系统 的 机 密 性 、 完 整 性 .可 用 性 、 
可 控 性 \ 抗 抵赖 性 等 造成 威胁 和 破坏 。 我 们 把 进行 网 络 攻击 的 人 或 事物 称 为 攻击 者 。 网 络 
系统 的 攻击 者 有 黑客 .间谍 、 疏 怖 主义 者 .职业 犯罪 分 子 、 网 络 系统 内 部 员工 等 。 黑 客 是 最 常 
见 的 网 络 攻击 者 。 

提起 黑客 ,总 是 给 人 一 种 神秘 莫 测 的 感觉 。 在 人 们 眼中 ,黑客 是 一 群 精通 计算 机 操作 系 
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统 和 编程 语言 方面 的 技术 ,具有 硬件 和 软件 的 高 级 知识 ,能 发 现 系统 中 存在 安全 漏洞 的 人 ， 
他 们 经 常 使 用 入 侵 计 算 机 系统 的 基本 技巧 ,如 破解 口令 (password cracking)、 开 天 窗 
(trapdoor) .走后门 (backdoor) .安放 木马 (Trojan Horse) 等 ,未 经 允许 地 侵入 网 络 系统 , 罕 
视 他 人 的 隐私 、 窃 取 密 码 或 故意 破坏 信息 系统 。 黑 客 可 强行 闻 和 远程 系统 或 恶意 干扰 远程 
系统 的 工作 ,通过 非 授权 的 访问 权限 ,盗窃 系统 的 重要 数据 ,破坏 系统 的 完整 性 和 可 用 性 , 干 
扰 系统 的 正常 工作 。 

黑客 常用 的 攻击 手段 有 获取 用 户口 令 .放置 木马 程序 `. 电 子 邮件 攻击 .网络 监听 利用 账 
号 进行 攻击 、 获 取 超 级 用 户 权 限 等 。 

1. 网 络 攻 击 的 目的 

黑客 攻击 网 络 系统 的 目的 通常 有 以 下 几 种 。 

(1) 获取 超级 用 户 权限 ,对 系统 进行 非法 访问 。 

(2) 获取 所 需 信息 ,包括 科技 情报 .个 人 资料 .金融 账户 、 信 用 卡 密码 及 系统 信息 等 。 

(3) 算 改 .删除 或 暴露 数据 资料 ,达到 非法 目的 。 

(4) 利用 系统 资源 ,对 其 他 目标 进行 攻击 发布 虚假 信息 、 占 用 存储 空间 等 。 

(5) 拒绝 网 络 服务 。 

2. 网 络 攻击 的 一 般 步 又 

黑客 攻击 网 络 系统 通常 先 锁定 攻击 目标 ,再 利用 一 些 公开 协议 或 安全 工具 收集 目标 的 
相关 信息 ,然后 扫描 分 析 系 统 的 弱点 和 漏洞 ,进而 发 动 对 目标 的 网 络 攻击 。 

3. 网 络 攻击 的 手段 

为 了 把 损失 降低 到 最 低 限 度 , 我 们 一 定 要 有 安全 观念 ,并 掌握 一 定 的 安全 防范 措施 ,让 
黑客 无 任何 机 会 可 乘 。 我 们 先 来 了 解 和 研究 黑客 攻击 常见 的 技术 手段 ,这 样 才 能 采取 准确 
的 策略 应 对 网 络 攻击 。 黑 客 攻击 常见 的 技术 手段 主要 有 以 下 几 种 。 

(1) 端口 扫描 。 端 口 扫描 的 目的 是 找 出 目标 系统 上 提供 的 服务 列表 。 端 口 扫 描 程 序 逐 
个 尝试 与 TCP/UDP 端口 连接 ,然后 根据 熟知 端口 与 服务 的 对 应 关系 ,结合 服务 器 端的 反 
应 推断 目标 系统 上 是 否 运行 了 某 项 服务 。 通 过 这 些 服务 ,攻击 者 可 能 获得 关于 目标 系统 的 
进一步 的 信息 或 通 往 目标 系统 的 途径 。 常 见 的 端口 扫描 技术 包括 完全 连接 扫描 、 半 连接 扫 
描 \SYN 扫描 ID 头 信息 扫描 、 隐 蔽 扫描 ,SYN/ACK 扫描 、FIN 扫描 、ACK 扫描 ,NULL 扫 
描 、XMAS 扫描 等 。 网 络 端口 扫描 是 攻击 者 必 备 的 技术 ,通过 扫描 可 以 掌握 攻击 目标 的 开 
放 服 务 ,根据 扫描 所 获得 的 信息 ,为 下 一 步 攻 击 做 准备 。 

(2) 口令 破解 。 口 令 机 制 是 资源 访问 控制 的 第 一 道 屏障 。 网 络 攻击 者 常常 以 破解 用 户 
的 弱 口 令 为 突破 口 ,获取 系统 的 访问 权限 。 随 着 计算 机 软 硬 件 技术 的 发 展 以 及 人 们 计算 能 
力 的 提高 ,目前 有 许多 专用 的 口令 攻击 软件 流行 ,使 口令 破解 变 得 更 为 有 效 。 

(3) 拒绝 服务 。 拒 绝 服 务 (DoS) 攻 击 是 攻击 者 通过 各 种 手段 来 消耗 网 络 带宽 或 服务 器 
的 系统 资源 ,最 终 会 导致 被 攻击 服务 器 的 资源 耗 尽 或 系统 骨 溃 而 无 法 提供 正常 的 网 络 服务 。 
这 种 攻击 对 服务 器 来 说 ,可 能 并 没有 造成 损害 ,但 可 以 使 人 们 对 被 攻击 服务 器 所 提供 的 服务 
的 信任 度 下 降 ,影响 公司 声誉 以 及 用 户 对 网 络 的 使 用 。 

具体 的 DoS 攻击 方式 有 SYN Flood(SYN 洪 泛 ) 攻 击 、IP 碎片 攻击 .Smnurf 攻击 、 死 亡 
之 ping 攻击 、 泪 滴 (teardrop) 攻 击 `\UDP Flood(UDP 洪 泛 ) 攻 击 、Fraggle 攻击 等 。 

(4) 缓冲 区 溢出 。 缓 冲 区 溢出 攻击 是 利用 缓冲 区 溢出 漏洞 所 进行 的 攻击 行动 。 缓 冲 区 


溢出 是 指 当 计算 机 向 缓冲 区 内 填充 数据 位 数 时 超过 了 缓冲 区 本 身 的 容量 ,溢出 的 数据 覆盖 
在 合法 数据 上 ,这 样 就 给 予 攻击 者 控制 程序 执行 流程 的 机 会 。 缓 冲 区 溢出 是 一 种 非常 普遍 、 
非常 危险 的 漏洞 ,在 各 种 操作 系统 、 应 用 软件 中 广泛 存在 。 攻 击 者 可 将 特殊 设计 的 攻击 代码 
植 人 到 有 缓冲 区 溢出 漏洞 的 程序 之 中 ,改变 漏洞 程序 的 执行 过 程 ,就 可 以 得 到 被 攻击 主机 的 
控制 权 。 缓 冲 区 溢出 攻击 是 最 为 常见 的 一 种 攻击 形式 , 绝 大 多 数 的 远程 网 络 攻 击 事件 都 与 
缓冲 区 溢出 漏洞 有 关 。 

(5) 网 络 嗅 探 。 网 络 嗅 探 是 攻击 者 必 备 的 技术 ,通过 欠 听 流 经 网 络 接口 的 信息 ,从 而 获 
取 用 户 会 话 信息 ,如 商业 秘密 和 认证 信息 等 。 尽 管 在 普通 方式 下 , 某 台 主机 只 能 收 到 发 给 它 
的 信息 ,然而 只 要 将 这 台 主 机 的 网 络 接口 设 成 “混杂 ”模式 ,其 就 可 以 接收 来 自 整 个 网 络 上 的 
信息 包 。 这 就 使 得 网 络 嗅 探 变 得 十 分 容易 。 

(6) 漏洞 扫描 。 网 络 系统 漏洞 是 指 网 络 系统 硬件 ,软件 (通信 协议 和 应 用 软件 ) 、 数 据 库 
系统 及 网 络 服务 上 存在 的 缺陷 或 脆弱 性 。 网 络 攻 击 者 利用 漏洞 扫描 来 收集 目标 系统 的 漏洞 
信息 ,为 下 一 步 攻 击 做 准备 。 常 见 的 漏洞 扫描 技术 有 CGI 漏洞 扫描 、 弱 口令 扫描 、 操 作 系 统 
漏洞 扫描 、 数 据 库 漏洞 扫描 、Web 脚本 编程 漏洞 扫描 等 。 非 授权 用 户 利用 这 些 漏洞 可 对 网 
络 系 统 进行 非法 访问 。 这 种 非法 访问 可 能 使 系统 内 数据 的 完整 性 受到 威胁 ,也 可 能 使 信息 
遭 到 破坏 而 不 能 继续 使 用 ,更 为 严重 的 是 有 价值 的 信息 被 窃取 而 不 留任 何 痕迹 。 

4. 网 络 攻击 常用 工具 

攻击 者 (黑客 ) 攻 击 系统 通常 使 用 的 工具 可 以 分 为 扫描 类 .密码 破解 类 ,监听 类 和 远程 监 
控 类 工具 软件 。 

1) 扫描 类 工具 软件 

通过 扫描 程序 ,黑客 可 以 找到 攻击 目标 的 IP 地 址 .开放 的 端口 号 .服务 器 运行 的 版 本 、 
程序 中 可 能 存在 的 漏洞 等 。 现 在 网 络 上 的 很 多 扫描 器 的 功能 都 设计 得 非常 强大 ,并 且 综 合 
了 各 种 扫描 需要 ,将 各 种 功能 集成 于 一 身 。 根 据 不 同 的 扫描 目的 ,扫描 类 工具 软件 又 可 分 为 
地 址 扫描 器 .端口 扫描 器 ,漏洞 扫描 器 三 个 类 别 。 利 用 扫描 器 ,黑客 可 以 轻松 地 完成 收集 目 
标 信息 的 工作 。 常 见 的 网 络 扫描 工具 软件 主要 有 以 下 几 种 。 

(1) Nmap(Network map): 该 软件 可 为 远程 网 络 构 建 一 张 逻 辑 * 地 图 ” ,检测 网 络 上 有 
哪些 主机 ,这 些 主 机 分 别 是 哪 种 操作 系统 类 型 ,分 别提 供 哪些 网 络 服务 等 。 

(2) SuperScan: 该 软件 是 一 款 具有 TCP connect 端口 扫描 、Ping 和 域名 解析 等 功能 的 
工具 ,能 较 容易 地 做 到 对 指定 范围 内 的 IP 地 址 进行 Ping 和 端口 扫描 。 

(3) Shadow Security Scanner: 该 软件 运行 于 Windows 操作 系统 环境 ,能 够 扫描 出 
NetBIOS.HTTP、CGI、 WinCGI, FTP、DNS、POP3、SMTP、LDAP、TCP/IP、UDP. 注 册 信 
息 、 服 务 、 用 户 账号 口令 以 及 MSSQL IJBM DB2、Oracle、MySQL、Interbase、MiniSQL 等 数 
据 库 漏洞 信息 。 

(4) Nessus: 该 软件 是 一 款 可 以 运行 在 Linux、BSD、Solaris 以 及 其 他 一 些 系 统 上 的 远 
程 安全 扫描 软件 。 它 是 多 线程 、 基 于 插入 式 的 软件 ,拥有 很 好 的 GTK 界面 ,能 够 完成 超过 
1200 项 的 远程 安全 检查 ,并 具有 强大 的 报告 输出 能 力 。 

2) 密码 破解 类 工具 软件 

这 类 工具 软件 对 黑客 来 说 非常 有 利 ,他 们 通过 对 软件 的 简单 设置 就 可 以 使 软件 自动 完 
成 重复 的 工作 。 常 见 的 密码 破解 类 软件 有 以 下 几 种 。 
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(1) 乱 刀 : 该 软件 可 以 破解 UNIX 系统 中 的 密码 ,对 于 取得 了 etc/passwd 文件 的 黑客 
来 说 这 是 必 不 可 少 的 。 

(2) 漳 雪 : 该 软件 采取 多 线程 编写 ,除了 支持 字典 和 穷 举 以 外 ,最 大 的 特色 是 可 以 自己 
编写 猜测 规则 ,最 大 程度 上 保证 了 猜测 的 准确 性 。 利 用 济 雪 可 以 轻松 地 完成 基于 Web 形式 
的 各 种 密码 猜测 工作 。 

(3) John the Ripper: 该 软件 是 一 个 快速 口令 破解 器 ,支持 多 种 操作 系统 ,如 UNIX、 
Windows、BeOS、OpenVMS 等 。 

3) 监听 类 工具 软件 

通过 监听 ,黑客 可 以 截获 网 络 的 信息 包 , 再 对 这 些 加 密 的 信息 包 进行 破解 ,进而 分 析 包 
内 的 数据 ,获得 有 关系 统 的 信息 。 监 听 类 软件 已 经 成 为 黑客 获取 秘密 信息 的 重要 手段 。 常 
见 的 监听 类 工具 软件 有 以 下 几 种 。 

(1) Ethereal: 该 软件 是 一 款 免 费 的 支持 UNIX 和 Windows 的 网 络 协议 分 析 软 件 。 
使 用 者 借助 该 软件 既 可 以 直接 从 网 络 上 抓 取 数据 进行 分 析 , 也 可 以 对 其 他 嗅 探 器 抓 取 后 保 
存在 硬盘 上 的 数据 进行 分 析 。Ethereal 几乎 支持 所 有 的 协议 .具有 丰富 的 过 滤 语 言 . 易 于 查 
看 TCP 会 话 经 重 构 后 的 数据 流 等 功能 。 

(2) Tcpdump/ Windump: 该 软件 是 一 款 基 于 命令 行 的 网 络 数 据 包 分 析 和 嗅 探 工具 。 
它 能 把 匹配 规则 的 数据 包 的 包头 显示 出 来 。 使 用 该 软件 能 查找 网 络 问 题 或 者 监视 网 络 上 的 
状况 。Windump 是 Tcpdump 在 Windows 平台 上 的 移植 版 。 

(3) Kitmet: 该 软件 是 一 款 IEEE 803. 11b 网 络 嗅 探 和 分 析 程 序 , 支 持 大 多 数 无 线 网 
卡 ,通过 UDP、ARP、DHCP 数据 包 可 自动 实现 网 络 了 P 阻 塞 检测 ,能 通过 Cisio Discovery 协 
议 列 出 Cisio 设备 ,能够 加 密 数 据 包 记 录 ,能 绘制 探测 到 的 网 络 图 和 估计 网 络 范围 。 

4) 远程 监控 类 工具 软件 

黑客 最 常 使 用 的 远程 监控 软件 就 是 木马 程序 。 在 服务 器 上 运行 一 个 客户 端 软 件 , 在 黑 
客 的 计算 机 上 运行 一 个 服务 端 软件 。 黑 客 即 可 利用 木马 程序 在 服务 器 上 打开 一 个 端口 ,对 
服务 器 进行 监视 和 控制 。 常 见 的 木马 软件 有 “网 银 木马 “网 游 木马 “网 络 精灵 ”、Netcat、 
“FTP 木马 “网 络 神偷 ”等 。 


6.4.2 网 络 攻击 的 实施 过 程 


了 解 网 络 攻击 过 程 的 目的 在 于 知己 知 彼 , 有 利于 我 们 更 好 地 做 好 网 络 安全 防范 工作 。 
通过 分 析 可 将 网 络 攻击 者 的 攻击 过 程 分 为 如 下 步骤 。 

1. 确定 攻击 目的 

攻击 者 在 进行 一 次 完整 的 攻击 前 ,要 先 确定 攻击 要 达到 的 目的 。 常 见 的 攻击 目的 就 是 
破坏 和 入 侵 。 破 坏 性 攻击 就 是 破坏 攻击 目标 ,使 其 不 能 正常 工作 ,但 不 会 随意 控制 目标 的 系 
统 运行 。 要 达到 破坏 性 攻击 的 目的 ,主要 手段 是 拒绝 服务 (DoS) 攻 击 。 

2. 收集 攻击 目标 信息 

在 确定 攻击 目的 后 ,攻击 者 还 需 进一步 获取 有 关 信 息 , 如 攻击 目标 机 的 IP 地 址 、 所 在 网 
络 的 操作 系统 类 型 和 版 本 、 系 统管 理 人 员 的 邮件 地 址 等 。 对 于 攻击 者 来 说 ,各 种 攻击 目标 信 
息 是 最 重要 的 ,它们 可 能 就 是 攻击 者 的 最 终 目 标 (如 绝密 文件 ,经 济 情报 等 )。 也 可 能 是 攻击 
者 获得 系统 访问 权 的 通行 证 ,如 用 户口 令 、 认 证 票据 等 。 还 可 能 是 攻击 者 获取 系统 访问 权 的 





基础 ,如 目标 系统 的 软 硬 件 平台 类 型 .提供 的 服务 应 用 及 其 安全 性 强 弱 等 。 通 常 ,攻击 者 感 


兴趣 的 信息 有 以 下 几 点 。 
(1) 系统 的 一 般 信 息 , 如 系统 的 软 硬 件 平 台 类 型 .系统 的 用 


户 、 系 统 的 服务 与 应 用 等 。 


(2) 系统 级 服务 的 管理 、 配 置信 息 , 如 系统 是 否 禁 止 root 远程 登录 ,SMTP 服务 器 是 否 


支持 decode 别名 等 。 


(3) 系统 口令 的 安全 性 信息 ,如 系统 是 否 存在 弱 口 令 、 默 认 用 户 的 口令 是 否 没 有 被 改 


动 等 。 


(4) 系统 提供 的 服务 的 安全 性 和 系统 整体 的 安全 性 能 信息 ,这 一 点 可 以 从 该 系统 是 否 
提供 安全 性 较 差 的 服务 .系统 服务 的 版 本 是 否 是 弱 安全 版 本 以 及 是 否 存在 其 他 的 一 些 不 安 


全 因素 来 做 出 判断 。 
3. 挖掘 漏洞 信息 


在 收集 到 攻击 目标 的 一 些 信息 后 ,攻击 者 就 会 探测 目标 网 络 上 的 每 台 主机 ,以 寻求 该 系 
统 的 漏洞 或 安全 弱点 。 根 据 这 些 信息 进行 分 析 , 可 查询 到 被 攻击 方 系统 中 可 能 存在 的 漏洞 。 
系统 中 漏洞 的 存在 是 系统 受到 各 种 安全 威胁 的 根源 。 外 部 攻击 者 可 利用 系统 提供 的 网 
络 服务 漏洞 进行 攻击 ,网络 系统 内 部 人 员 也 可 利用 系统 内 部 服务 及 配置 上 的 漏洞 进行 攻击 。 


拒绝 服务 攻击 主要 利用 资源 的 有 限 性 及 分 配 策略 的 漏洞 ,使 服 


务 资源 枯竭 .服务 程序 崩溃 。 


攻击 者 就 是 尽量 多 地 挖掘 出 系统 漏洞 ,并 针对 具体 的 漏洞 进行 攻击 。 攻 击 者 常用 的 系统 漏 


洞 有 以 下 几 种 。 
(1) 系统 或 应 用 服务 软件 漏洞 。 
(2) 主机 信任 关系 漏洞 。 
(3) 目标 网 络 使 用 者 漏洞 。 
(4) 通信 协议 漏洞 。 
(5) 网 络 业务 系统 漏洞 。 
4. 隐蔽 攻击 源 和 行踪 


作为 攻击 者 ,他 们 总 是 会 担心 自己 的 行踪 被 发 现 ,所 以 在 进入 系统 后 攻击 者 要 做 的 第 一 
件 事 就 是 隐藏 自己 的 身份 和 行踪 ,包括 自己 的 网 络 域 及 IP 地 址 。 这 样 就 能 使 系统 管理 人 员 
无 法 知道 他 们 的 踪迹 ,从 而 有 效 地 保护 自己 。 攻 击 者 通常 会 采用 如 下 方法 隐藏 自己 的 行踪 。 





(1) 盗用 他 人 账号 ,以 他 人 的 名 义 进行 攻击 。 

(2) 利用 被 入 侵 的 主机 作为 跳板 。 

(3) 使 用 电话 转移 技术 隐藏 自己 。 

(4) 利用 免费 代理 网 关 。 

(5) 伪造 IP 地 址 。 

5. 实施 网 络 攻击 

攻击 者 在 上 述 工 作 的 基础 上 ,结合 自身 的 水 平 及 经 验 总 结 ! 








相应 的 攻击 方法 ,实施 真正 


的 网 络 攻 击 。 不 同 的 攻击 者 有 不 同 的 攻击 目的 ,可 能 是 为 了 获得 机 密 文件 的 访问 权 , 可 能 是 
为 了 破坏 系统 数据 的 完整 性 ,也 可 能 是 为 了 获得 整个 系统 的 控制 权 、` 管 理 权限 以 及 其 他 目的 


等 。 通 常 ,攻击 者 实施 的 网 络 攻击 可 能 包括 以 下 操作 。 
(1) 通过 猜测 程序 对 截获 的 用 户 账号 和 口令 进行 破译 。 
(2) 利用 破译 程序 对 截获 的 系统 密码 文件 进行 破译 。 
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(3) 通过 得 到 的 用 户口 令 和 系统 密码 远程 登录 网 络 , 以 获得 用 户 的 工作 权限 。 

(4) 利用 本 地 漏洞 获取 管理 员 权 限 。 

(5) 利用 网 络 系统 本 身 的 薄弱 环节 和 安全 漏洞 实施 电子 引诱 (如 安放 木马 )。 

(6) 修改 网 页 进行 恶作剧 ,或 破坏 系统 程序 ,或 放置 病毒 使 系统 陷 人 瘫痪 ,或 窃取 政治 、 
军事 .商业 秘密 ,或 进行 电子 邮件 骚扰 ,或 转移 资金 账户 .窃取 金钱 等 。 

6. 开辟 后 门 

一 次 成 功 的 攻击 通常 要 耗费 攻击 者 大 量 的 资源 ,同时 为 了 更 方便 、 高 效 地 进行 再 次 攻 
击 , 攻 击 者 在 退出 系统 之 前 会 在 系统 中 设计 并 留 下 一 些 后 门 。 攻 击 者 设计 后 门 时 通常 会 采 
用 以 下 方法 。 

(1) 放宽 文件 许可 权限 。 

(2) 重新 开放 技术 不 安全 的 服务 。 

(3) 修改 系统 配置 ,如 系统 启动 文件 .网 络 服务 配置 文件 等 。 

(4) 蔡 换 系统 本 身 的 共享 库 文件 。 

(5) 修改 系统 源 代 码 , 安 装 各 种 木马 。 

(6) 建立 隐蔽 通道 。 

7. 清除 攻击 痕迹 

攻击 者 为 了 避免 其 被 系统 安全 管理 员 追 踪 , 退 出 系统 前 常会 设法 清除 其 攻击 痕迹 ,避免 
被 安全 管理 员 或 IDS 发 现 。 常 用 的 清除 痕迹 的 方法 有 以 下 几 种 。 

(1) 算 改 日 志文 件 中 的 审计 信息 。 

(2) 改变 系统 时 间 ,造成 日 志文 件数 据 紊乱 。 

(3) 删除 或 停止 审计 服务 进程 。 

(4) 干扰 IDS 正常 运行 。 

(5) 修改 完整 性 检测 标签 。 


6.4.3 网 络 攻击 的 防范 实例 


对 于 网 络 协议 .操作 系统 ,数据库 和 应 用 程序 等 ,无 论 是 其 本 身 的 设计 缺陷 ,还 是 由 于 人 
为 因素 造成 的 各 种 漏洞 ,都 可 能 被 黑客 利用 进行 网 络 攻击 。 因 此 ,要 保证 网 络 信息 的 安全 ， 
必须 熟知 黑客 攻击 网 络 的 一 般 过 程 , 在 此 基础 上 才能 制定 相应 的 防范 策略 ,确保 网 络 安全 。 
下 面 介绍 几 种 典型 的 网 络 攻击 与 防范 实例 。 

1. 拒绝 服务 攻击 与 防范 

拒绝 服务 (DoS) 攻 击 主要 是 攻击 者 利用 TCP/IP 协议 本 身 的 漏洞 或 网 络 中 操作 系统 的 
漏洞 来 实现 的 。 攻 击 者 通过 发 送 大 量 无 效 的 请 求 数据 包 造 成 服务 器 进程 无 法 在 短期 内 释 
放 , 大 量 的 积累 耗 尽 系统 资源 ,使 得 服务 器 无 法 对 正常 的 请 求 进 行 响 应 ,从 而 造成 服务 器 次 
痪 。 这 种 攻击 主要 用 来 攻击 域名 服务 器 .路 由 器 以 及 其 他 网 络 操作 服务 ,攻击 之 后 造成 被 攻 
击 者 无 法 正常 工作 和 提供 服务 。 由 于 DoS 攻击 工具 的 技术 要 求 不 高 ,效果 却 比较 明显 , 因 
此 成 为 当今 网 络 中 被 黑客 广泛 使 用 的 一 种 十 分 流行 的 攻击 手段 。 

众所周知 ,在 TCP/IP 传输 层 ,TCP 连接 要 通过 三 次 握手 机 制 来 完成 。 客 户 端 首先 发 
送 SYN 信息 (第 一 次 握手 ) ,服务 器 发 回 SYN/ACK 信息 (第 二 次 握手 ) ,客户 端 连接 后 再 发 
回 ACK 信息 (第 三 次 握手 ) ,此 时 连接 建立 完成 。 若 客户 端 不 发 回 ACK 信息 , 则 服务 器 在 

















超时 后 处 理 其 他 连接 。 在 连接 建立 后 ,TCP 层 实体 即 可 在 已 建立 的 连接 上 开始 传输 TCP 
数据 段 。TCP 的 三 次 握手 过 程 常 常 被 黑客 利用 进行 DoS 攻击 。DoS 攻击 的 原理 是 : 客户 
机 先进 行 第 一 次 握手 ,服务 器 收 到 信息 后 进行 第 二 次 握手 ; 正常 情况 客户 机 应 该 进行 第 三 
次 握手 。 但 因为 被 黑客 控制 的 客户 端 (攻击 者 ) 在 进行 第 一 次 握手 时 修改 了 自己 的 地 址 , 即 
将 一 个 实际 上 不 存在 的 IP 地 址 填充 在 自己 的 IP 数据 包 的 发 送 者 IP 栏 中 。 这 样 ,由 于 服务 
器 发 送 的 第 二 次 握手 信息 没 人 接收 ,所 以 服务 器 不 会 收 到 第 三 次 握手 的 确认 信号 ,这 样 服务 
器 端 会 一 直 等 待 直至 超时 。 当 有 大 量 的 客户 发 出 请 求 后 ,服务 器 就 会 有 大 量 的 信息 在 排队 
等 待 ,直到 所 有 的 资源 被 用 光 而 不 能 再 接收 客户 机 的 请 求 。 当 正常 的 用 户 向 服务 器 发 出 请 
求 时 ,由 于 没有 了 资源 就 会 被 拒绝 服务 。 

SYN Flood( 洪 泛 ) 攻 击 是 典型 的 DoS 攻击 。SYN Flood 常常 是 源 IP 地 址 欺骗 攻击 的 
前 奏 , 又 称 “ 半 连接 ” 式 攻 击 。SYN Flood 攻击 处 于 TCP/IP 协议 的 传输 层 。 首 先 ,攻击 者 向 
被 攻击 对 象 发 送 虚假 源 地 址 的 SYN 报 文 段 , 当 被 攻击 对 象 收 到 该 SYN 报 文 段 后 把 该 源 地 
址 作为 日 的 地 址 发 送 SYN/ACK 报 文 段 ,同时 被 攻击 对 象 建立 起 一 个 处 于 SYN_RCVD 状 
态 的 等 待 连接 。 如 果 具 有 该 虚假 源 地 址 的 系统 不 可 到 达 ,被 攻击 对 象 将 收 不 到 响应 的 RST 
报 文 段 或 ACK 报 文 段 ,从 而 一 直 等 待 , 直 到 超时 。 由 于 攻击 者 不 间 上 歇 地 发 送 这 样 的 SYN 
报 文 段 ,被 攻击 对 象 将 不 断 建立 这 样 的 半 连 接 ( 只 有 发 送 , 收 不 到 响应 ) ,最 终 被 攻击 对 象 所 
建立 的 连接 数 达到 其 所 允许 的 最 大 值 后 ,服务 器 不 再 响应 合法 用 户 的 正常 请 求 ,引起 了 DoS 
攻击 。 

可 采用 防火 墙 系统 .入 侵 检 测 系统 (IDS) 和 入 侵 防护 系统 (IPS) 等 技术 措施 防范 DoS 攻 
击 。 此 外 ,从 网 络 的 全 局 着 眼 ,在 网 间 基 础 设施 的 各 个 层面 上 采取 应 对 措施 ,包括 在 局 域 网 
层面 上 采用 特殊 措施 ,在 网 络 传输 层面 上 进行 必要 的 安全 设置 ,并 安装 专门 的 DoS 识别 和 
预防 工具 (如 Extreme Ware 管理 套件 ) ,只 要 提供 了 有 效 的 识别 机 制 和 强硬 的 控制 手段 ,就 
可 能 最 大 限度 地 减少 DoS 攻击 所 造成 的 损失 。 对 于 DoS 攻击 ,可 采取 以 下 具体 措施 来 
应 对 。 

(1) 关 掉 可 能 产生 无 限 序列 的 服务 ,防止 洪 泛 攻击 。 

(2) 对 系统 设 定 相 应 的 内 核 参数 ,使 系统 强制 对 超时 的 SYN 请 求 连接 数据 包 复 位 , 同 
时 通过 缩短 超时 常数 和 加 长 等 候 队列 使 系统 能 迅速 处 理 无 效 的 SYN 请 求 数据 包 。 

(3) 在 路 由 器 上 做 些 诸如 限制 SYN 半 开 数据 包 流量 和 个 数 配置 的 调整 。 

(4) 在 路 由 器 的 前 端 做 必要 的 TCP 拦截 .使 得 只 有 完成 TCP 三 次 握手 过 程 的 数据 包 
才 可 进入 该 网 段 。 

对 于 正在 实施 的 DoS 攻击 ,要 追根 溯源 地 去 找到 正在 进行 攻击 的 机 器 和 攻击 者 。 要 追 
踪 攻 击 者 不 是 一 件 容易 的 事情 ,一 旦 其 停止 了 攻击 行为 就 很 难 被 发 现 。 唯 一 可 行 的 方法 就 
是 在 其 进行 攻击 的 时 候 , 根 据 路 由 器 的 信息 和 攻击 数据 包 的 特征 ,采用 逐 级 回溯 的 方法 来 查 
找 其 攻击 源头 。 

2. 分 布 式 拒绝 服务 攻击 与 防范 

随 着 Internet 的 发 展 , 对 网 络 体系 进行 故意 破坏 的 黑客 团体 也 日 益 增 多 。 他 们 研究 出 
了 各 种 攻击 方法 ,其 中 最 难 防范 的 也 是 最 具 破 坏 性 的 就 是 分 布 式 拒绝 服务 (DDoS) 攻 击 。 
DDoS 是 一 种 特殊 形式 的 拒绝 服务 攻击 .采用 一 种 分 布 . 协 作 的 大 规模 攻击 方式 ,主要 瞄准 
如 商业 公司 .搜索 引擎 和 政府 部 门 网 站 等 比较 大 的 站 点 。DDos 攻击 是 目前 黑客 经 常 采用 
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且 难 以 防范 的 攻击 手段 。 为 了 最 大 限度 地 阻止 DDoS 攻击 ,了 解 DDoS 的 攻击 方式 和 防范 
方法 是 网 络 安全 人 员 所 必须 具备 的 能 力 。 

1) DDoS 攻击 概述 

DoS 的 攻击 方式 有 很 多 种 ,最 基本 的 DoS 攻击 就 是 用 超出 被 攻击 目标 处 理 能 力 的 海量 
数据 包 消 耗 可 用 系统 带宽 资源 ,致使 网 络 服务 瘫痪 。 在 早期 ,DoS 攻击 主要 是 针对 处 理 能 
力 较 弱 的 单机 ,而 对 拥有 高 带宽 连接 、 高 性 能 设备 的 网 站 影响 不 大 。 单 一 的 DoS 攻击 一 般 
采用 一 对 一 方式 ,DoS 攻击 的 明显 效果 是 使 被 攻击 目标 的 CPU 速度 、 内 存 和 网 络 带 宽 等 各 
项 性 能 指标 变 低 。 随 着 计算 机 处 理 能 力 和 内 存 容量 的 迅速 增加 ,DoS 攻击 的 风险 和 危害 逐 
浙 降 低 , 目 标 主机 对 恶意 攻击 包 的 “消化 能 力 ” 也 随 之 增强 了 。 例 如 攻击 者 的 攻击 软件 每 秒 
钟 可 以 发 送 3000 个 攻击 包 , 但 用 户 的 主机 与 网 络 带宽 每 秒 钟 可 以 处 理 10 000 个 攻击 包 , 这 
样 的 攻击 就 不 会 产生 什么 效果 。 因 而 就 出 现 了 DDoS 攻击 手段 。 

DDoS 攻击 就 是 在 传统 的 DoS 攻击 基础 之 上 产生 的 一 种 攻击 方式 。 试 想 如 果 计 算 机 与 
网 络 的 处 理 能 力 加 大 了 10 倍 , 那 么 用 一 台 攻 击 机 来 攻击 就 不 会 起 作用 ,但 如 果 攻 击 者 使 用 
10 台 甚 至 100 台 攻 击 机 同时 攻击 呢 ? 这 就 是 DDoS 攻击 的 思路 , 它 就 是 利用 更 多 的 被 控制 
机 发 起 进攻 ,以 比 从 前 更 大 的 规模 来 进攻 受害 者 。 如 图 6. 4. 1 所 示 ,为 完成 DDoS 攻击 , 黑 
客 首先 要 拥有 和 控制 三 种 类 型 的 计算 机 : 攻击 控制 台 ( 黑 客 本 人 使 用 ,黑客 通过 它 发 布 实施 
DDoS 的 指令 ) 攻击 服务 器 (一 般 不 归 黑 客 所 有 ,黑客 在 这 些 计算 机 上 安装 特定 的 主 控制 软 
件 ) 和 攻击 器 。 每 个 攻击 器 也 是 一 台 已 被 人 侵 并 运行 代理 程序 的 系统 主机 ,每 个 响应 攻击 命 
令 的 攻击 器 会 向 被 攻击 目标 主机 发 送 DoS 数据 包 。 
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图 6.4.1 分 布 式 拒绝 服务 攻击 示意 图 


DDoS 攻击 包 是 从 攻击 器 上 发 出 的 ,攻击 服务 器 只 发 布 命令 而 不 参与 实际 的 攻击 。 黑 
客 对 这 两 类 计算 机 有 控制 权 或 部 分 的 控制 权 , 并 把 相应 的 DDoS 程序 上 传 到 这 些 平台 上 ,这 
些 程序 与 正常 的 程序 一 样 运行 并 等 待 来 自 黑客 的 指令 。 平 时 攻击 器 并 没有 什么 异常 ,只 是 
一 旦 被 黑客 控制 并 接收 到 指令 ,他 们 就 会 去 发 起 攻击 了 。 

一 般 来 说 ,黑客 的 DDoS 攻击 分 为 以 下 几 个 阶段 。 


(1) 准备 阶段 。 在 这 个 阶段 ,黑客 搜集 和 了 解 目标 的 情况 (主要 是 目标 主机 的 数目 、 地 
址 、 配 制 \ 性 能 和 带宽 )。 该 阶段 对 于 黑客 来 说 非常 重要 .因为 只 有 完全 了 解 目 标的 情况 , 才 
能 有 效 地 进行 进攻 。 对 于 DDoS 攻击 者 而 言 ,要 攻击 某 个 站 点 ,首先 要 确定 到 底 有 多 少 台 主 
机 在 支持 这 个 站 点 ,一 个 大 的 网 站 可 能 有 很 多 台 主 机 利用 负载 均衡 技术 提供 同一 个 网 站 的 
WWW 服务 。 

(2) 占领 便血 机 。 该 阶段 实际 上 是 使 用 了 利用 型 攻击 手段 。 简 单 地 说 ,就 是 占领 和 攻 
击 服务 器 ,取得 最 高 的 管理 权限 ,或 至 少 得 到 一 个 有 权限 完成 DDoS 攻击 任务 的 账号 。 

(3) 植 人 程序 。 占 领 侧 储 机 后 ,黑客 在 攻击 服务 器 上 安装 主 控制 软件 master ,在 攻击 器 
上 安装 守护 程序 daemon。 攻 击 器 上 的 代理 程序 在 指定 端口 上 监听 来 自 攻 击 服务 器 发 送 的 
攻击 命令 ,而 攻击 服务 器 接收 从 攻击 控制 台 发 送 的 指令 。 

(4) 实施 攻击 。 经 过 前 三 个 阶段 的 精心 准备 后 ,黑客 就 开始 瞄准 目标 准备 攻击 了 。 黑 
客 登 录 到 攻击 服务 器 ,向 所 有 的 攻击 机 发 出 攻击 命令 。 这 时 候 潜伏 在 攻击 机 中 的 DDoS 攻 
击 程序 就 会 响应 控制 台 的 命令 ,向 受害 主机 高 速 发 送 大 量 的 数据 包 , 导 致 受害 主机 死机 或 是 
无 法 响应 正常 的 请 求 。 

2) DDoS 攻击 的 防范 

目前 ,对 DDoS 攻击 的 防御 还 是 比较 困难 的 .但 实际 上 防止 DDoS 攻击 并 不 是 绝对 不 可 
行 的 。 一 个 企业 内 部 网 的 管理 者 往往 也 是 网 络 安全 员 ,在 其 维护 的 网 络 中 有 一 些 服务 器 需 
要 向 外 提供 WWW 服务 ,因而 会 不 可 避免 地 成 为 DDoS 的 攻击 目标 ,他 可 以 从 主机 与 网 络 
两 个 角度 考虑 进行 安全 设置 。 

(1) 在 主机 上 可 以 采取 使 用 网 络 和 主机 扫描 工具 检测 脆弱 性 、 采 用 NIDS 和 嗅 探 器 、 及 
时 更 新 系统 补丁 等 措施 防范 DDoS。 

(2) 在 网 络 的 防火 墙 上 可 以 采取 禁止 对 主机 的 非 开放 服 务 的 访问 、 限 制 同时 打开 的 
SYN 最 大 连接 数 、 限 制 特 定 IP 地 址 的 访问 、 严 格 限 制 开放 的 服务 器 的 对 外 访问 等 措施 ; 在 
网 络 的 路 由 器 上 可 采取 检查 每 一 个 经 过 路 由 器 的 数据 包 、 设 置 SYN 数据 包 流量 速率 、 在 边 
界 路 由 器 上 部 署 策 略 、 使 用 CAR 限制 ICMP 数据 包 流 量 速 率 等 措施 。 

3. 缓冲 区 溢出 攻击 与 防范 

1) 缓冲 区 溢出 攻击 

缓冲 区 是 用 户 为 程序 运行 而 在 计算 机 中 申请 的 一 段 连续 的 内 存 , 它 保存 指定 类 型 的 数 
据 。 缓冲 区 溢出 攻击 是 指 通过 向 缓冲 区 写 和 人 超出 其 长 度 的 内 容 , 造 成 缓冲 区 的 溢出 ,从 而 破 
坏 程序 的 堆栈 ,使 程序 转 而 执行 其 他 指令 的 攻击 。 缓 冲 区 溢出 攻击 是 一 种 常见 的 且 和 危害 很 
大 的 系统 攻击 方式 ,这 种 攻击 可 使 一 个 匿名 的 Internet 用 户 有 机 会 获得 一 台 主 机 的 部 分 或 
全 部 控制 权 。 

造成 缓冲 区 溢出 的 原因 是 程序 中 没有 仔细 检查 用 户 输入 的 参数 。 向 一 个 有 限 空间 的 组 
冲 区 置 入 过 长 的 字符 串 可 能 会 带 来 两 种 后 果 : 一 是 过 长 的 字符 串 覆 盖 了 相 邻 的 存储 单元 ， 
引起 程序 运行 失败 ,严重 时 可 导致 系统 崩 演 ; 二 是 利用 这 种 漏洞 可 以 执行 任意 指令 ,甚至 可 
取得 系统 特权 :引发 多 种 攻击 。“ 莫 里 斯 ”里 虫 就 是 利用 UNIX fingered 程序 不 限制 输入 长 
度 的 漏洞 ,输入 512 个 字符 后 使 缓冲 区 溢出 的 ,该 蠕虫 程序 以 root 身份 运行 ,并 感染 到 其 他 
机 器 上 。Slammer 蠕虫 是 利用 未 及 时 更 新 补丁 的 SQL 数据 库 的 漏洞 ,采用 不 正确 的 方式 将 
数据 发 送 到 SQL Server 的 监听 端口 ,引起 缓冲 区 溢出 ,最 终 形成 UDP Flood ,造成 网 络 堵塞 
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甚至 瘫痪 。 

2) 缓冲 区 溢出 攻击 的 防范 

缓冲 区 溢出 攻击 主要 利用 了 C 语言 程序 中 数组 边境 条 件 、 函 数 指针 等 设计 不 当 的 漏 
洞 。 大 多 数 Windows、Linux、UNIX 和 数据 库 系统 的 开发 都 依赖 于 C 语言 ,而 C 语言 的 缺 
点 是 缺乏 类 型 安全 。 防 火 墙 对 这 种 攻击 无 能 为 力 ,因为 攻击 者 传输 的 数据 分 组 并 无 异常 特 
征 ,没有 任何 欺骗 。 另 外 ,可 用 来 实施 缓冲 区 溢出 攻击 的 字符 串 非 常 多 样 化 ,无 法 与 正常 数 
据 进行 有 效 区 分 。 缓 冲 区 溢出 攻击 不 是 一 种 窃 密 和 欺骗 手段 ,而 是 从 计算 机 系统 的 最 底层 
发 起 的 攻击 ,在 它 的 攻击 下 系统 的 身份 验证 和 访问 权限 等 安全 策略 形同虚设 。 

缓冲 区 溢出 攻击 的 目的 在 于 扰乱 具有 某 些 特权 运行 的 程序 功能 ,使 攻击 者 取得 程序 的 
控制 权 , 如 果 该 程序 具有 足够 的 权限 ,那么 整个 主机 就 被 控制 了 。 为 了 达到 这 个 目的 ,攻击 
者 不 仅 要 在 程序 的 地 址 空间 里 安排 适当 的 代码 ,还 要 通过 适当 地 初始 化 寄存 器 和 存储 器 ,让 
程序 跳 转 到 事先 安排 的 地 址 去 执行 。 因 此 采用 在 程序 的 地 址 空间 里 安排 适当 的 代码 ,控制 
程序 的 执行 流程 使 之 跳 转 到 攻击 代码 、 综 合 代 码 植 和 和 流程 控制 等 方法 实现 缓冲 区 溢出 
攻击 。 

可 以 采用 以 下 几 种 方法 防范 缓冲 区 溢出 攻击 。 

(1) 编写 正确 的 代码 。 可 利用 一 些 工 具 和 技术 来 帮助 程序 员 编 写 安全 正确 的 程序 ,如 
使 用 具有 类 型 安全 的 Java 语言 编程 以 避免 C 语言 的 缺陷 ; 在 C 语言 环境 下 编程 避免 使 用 
Gets Sprintf 等 未 限定 边境 溢出 的 危险 函数 和 使 用 检查 堆栈 溢出 的 编译 器 等 。 

(2) 非 执行 缓冲 区 保护 。 通 过 使 被 攻击 程序 的 数据 段 地 址 空间 不 可 执行 ,使 攻击 者 不 
可 能 植 人 缓冲 区 的 代码 ,从 而 进行 非 执行 缓冲 区 保护 。 

(3) 数组 边界 检查 。 数 组 边界 检查 可 防止 缓冲 区 溢出 的 产生 。 为 了 实现 数组 边界 检 
查 , 所 有 对 数组 的 读 写 操作 都 应 当 被 检查 以 确保 在 正确 的 范围 内 对 数组 进行 操作 。 最 直接 
的 方法 是 检查 所 有 的 数组 操作 ,但 可 采取 一 些 优化 技术 来 减少 检查 的 次 数 。 

(4) 程序 指针 完整 性 检查 。 该 项 检查 可 在 程序 指针 被 引用 之 前 检测 到 它 的 变化 。 因 
此 ,即便 一 个 攻击 者 成 功 地 改变 了 程序 的 指针 ,由 于 系统 事先 检测 到 了 指针 的 变化 ,这 个 指 
针 就 不 会 被 使 用 。 

此 外 ,作为 普通 用 户 或 系统 管理 员 , 应 及 时 为 自己 的 操作 系统 和 应 用 程序 添加 补丁 以 修 
补漏 洞 ,减少 不 必要 的 开放 服务 端口 并 合理 配置 自己 的 系统 。 


6.5 网 络 扫描 ,监听 和 检测 


6.5.1 网 络 扫描 


随 着 Internet 的 迅猛 发 展 , 越 来 越 多 的 局 域 网 (企业 网 络 ) 接 入 Internet。 人 们 也 越 来 
越 多 地 体会 到 网 络 信息 安全 受到 的 威胁 ,因此 网 络 信 息 安 全 技术 得 到 了 人 们 的 重视 ,作为 网 
络 攻击 前 提 的 网 络 扫 描 技 术 同 样 也 得 到 了 发 展 和 应 用 。 

1. 网 络 扫描 简介 

网 络 扫描 就 是 对 计算 机 系统 或 其 他 网 络 设备 进行 相关 的 安全 检测 ,以 便 发 现 安全 隐患 
和 可 被 黑客 利用 的 漏洞 。 就 目前 系统 的 安全 状况 而 言 .系统 中 存在 着 一 定 的 漏洞 ,如 果 我 们 








能 够 根据 具体 的 应 用 环境 , 尽 可 能 早 地 通过 网 络 扫描 来 发 现 这些 漏 洞 ,并 及 时 采取 适当 的 处 
理 措施 进行 修补 ,就 可 有 效 地 阻止 人 侵 事件 的 发 生 。 系 统管 理 员 可 根据 安全 策略 ,使 用 网 络 
扫描 工具 实现 对 系统 的 安全 保护 。 网 络 扫描 是 网 络 管理 系统 的 重要 组 成 部 分 , 它 不 仅 可 以 
实现 复杂 烦琐 的 信息 系统 安全 管理 ,也 可 从 目标 信息 系统 和 网 络 资源 中 采集 信息 ,帮助 用 户 
及 时 找 出 网 络 中 存在 的 漏洞 ,分析 来 自 网 络 外 部 和 内 部 的 人 侵 信 和 号 以 及 网 络 系统 中 的 漏洞 ， 
有 时 还 能 实时 地 对 攻击 做 出 反应 。 

使 用 网 络 扫描 技术 ,网络 安全 管理 员 可 以 了 解 网 络 的 安全 配置 和 和 运行 的 应 用 服务 ,及 时 
发 现 安全 漏洞 ,评估 网 络 风险 ,并 可 以 根据 扫描 的 结果 及 时 修补 系统 漏洞 ,更 正 系统 错误 的 
安全 配置 ,保护 网 络 系统 的 安全 。 相 对 于 防火 墙 技术 和 和 人 侵 检测 技术 ,利用 扫描 技术 扫描 系 
统 存在 的 安全 问题 是 一 种 更 主动 和 积极 的 安全 措施 。 

2. 网 络 扫描 技术 

网 络 扫描 是 保证 系统 和 网 络 安全 必 不 可 少 的 手段 。 从 实现 的 技术 角度 看 ,网 络 扫描 可 
分 为 基于 主机 的 扫描 和 基于 网 络 的 扫描 。 网 络 扫描 通常 要 采用 两 种 策略 ,一 种 是 被 动 式 策 
略 , 另 一 种 是 主动 式 策略 。 被 动 式 策略 是 基于 主机 的 ,对 系统 中 不 合适 的 设置 .脆弱 的 口令 
以 及 其 他 与 安全 规则 相抵 触 的 对 象 进行 检查 ; 而 主动 式 策略 是 基于 网 络 的 ,通过 执行 一 些 
脚本 文件 模拟 对 系统 进行 攻击 的 行为 并 记录 系统 的 反应 ,从 而 发 现 其 中 的 漏洞 。 

基于 网 络 的 扫描 可 分 为 主机 扫描 、 端 口 扫描 、 传 输 协 议 扫 描 、 漏 洞 扫描 等 类 型 。 下 面 主 
要 介绍 主机 扫描 和 端口 扫描 。 

1) 主机 扫描 

可 进行 主机 扫描 的 技术 主要 有 以 下 几 种 。 

(1) Ping。Ping 命令 是 最 基本 的 网 络 检 测 命令 .通过 Ping 命令 的 回应 信息 可 以 作为 判 
断 对 方 主机 是 否 存 在 的 基本 依据 之 一 。 网 络 安全 管理 员 可 以 使 用 一 些 工具 或 设备 使 网 络 不 
回应 对 方 的 Ping 信息 。 

(2) Ping Sweep。Ping Sweep(Ping 扫射 ) 是 一 个 发 送 ICMP 回应 请 求 (pings) 给 一 个 
IP 地 址 范围 的 攻击 ,目的 是 寻找 能 够 被 探查 到 的 攻击 主机 。Ping Sweep 一 般 只 适用 于 中 小 
型 网 络 ,应 用 于 大 型 网 络 时 速度 较 慢 。 

(3) ICMP Broadcast。ICMP Broadcast 是 通过 向 广播 地 址 发 送 ICMP ECHO 报 文 来 
发 现 网 络 中 活动 的 主机 ,但 它 只 适用 于 网 络 中 的 UNIX 主机 。 

2) 端口 扫描 

由 于 计算 机 之 间 的 通信 是 通过 端口 进行 的 ,因此 通过 向 目标 主机 的 端口 发 送信 息 就 可 
以 检测 出 目标 主机 开放 了 哪些 端口 ,进而 可 以 连接 目标 主机 的 端口 。 端 口 扫 描 的 目的 是 探 
测 主 机 开放 了 哪些 端口 。 实 现 的 方法 是 对 目标 主机 的 每 个 端口 发 送信 息 , 用 扫描 器 对 着 目 
标 主机 查询 ,最 终 就 会 查 出 哪些 主机 开放 了 哪些 端口 。 系 统 的 某 些 端口 默认 是 为 一 些 固定 
的 服务 做 预 留 ,攻击 者 可 以 利用 相应 的 端口 检测 到 系统 服务 的 漏洞 ,进而 利用 这 些 服务 的 漏 
洞 人 侵 系 统 。 一 些 比较 重视 安全 的 服务 器 可 能 会 更 改 默认 端口 ,这 样 就 会 比较 安全 ,因为 改 
变 端口 可 以 起 到 迷惑 攻击 者 的 作用 。 常 见 的 系统 服务 端口 如 : FTP 对 应 21 号 端口 、Telnet 
对 应 23 号 端口 .SMTP 对 应 25 号 端口 .DNS 对 应 53 号 端口 .HTTP 对 应 80 号 端口 .POP 
HTTP 对 应 110 号 端口 ,等 等 。 可 进行 端口 扫描 的 技术 主要 有 以 下 几 种 。 

(1) TCP connect() 扫 描 。TCP connect() 扫描 是 最 基本 的 端口 扫描 ,系统 中 的 任何 用 
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户 都 可 以 使 用 。 如 果 connect() 返 回 成 功 , 则 说 明 端 口 开 放 。 

(2) TCP SYN 扫描 。TCP SYN 扫描 也 称 为 “ 半 开 放 ” 扫 描 。 发 起 扫描 的 主机 只 发 送 一 
个 TCP 的 SYN 报 文 ,如 果 对 方 主机 返回 的 是 SYN/ACK 报 文 , 则 说 明 对 方 的 相应 端口 处 
于 开放 状态 ; 如 果 对 方 主机 返回 的 是 RST/ACK 报 文 , 则 说 明 对 方 的 相应 端口 处 于 关闭 
状态 。 

(3) TCP FIN 扫描 。TCP FIN 扫描 是 通过 对 方 主 机 只 有 关闭 的 端口 才 会 进行 回复 ,而 
开放 的 端口 会 忽略 对 FIN 数据 包 的 回复 这 一 特性 来 判断 对 方 端口 是 否 开放 。 

端口 扫描 技术 实际 上 都 是 通过 向 目标 主机 发 送 TCP 报 文 , 根 据 目 标 主机 的 回复 状况 来 
判断 目标 主机 端口 的 开放 情况 。 

3. 网 络 扫描 器 

实现 扫描 功能 的 网 络 安全 工具 就 称 为 扫描 器 。 扫 描 器 实际 上 是 一 种 自动 检测 远程 或 本 
地 主机 安全 性 弱点 的 程序 。 通 过 与 目标 主机 TCP/IP 端口 建立 连接 ,并 请 求 某 些 服务 (如 
Telnet、FTP) ,记录 目标 主机 的 应 答 ,搜集 目标 主机 相关 的 信息 ,以 此 获得 关于 目标 主机 的 
信息 ,理解 和 分 析 这 些 信 息 ,就 可 能 会 发 现 破 坏 目标 主机 安全 性 的 关键 因素 。 扫 描 器 的 重要 
性 在 于 把 极为 复杂 的 安全 检测 ,通过 程序 来 自动 完成 ,这 不 仅 减 轻 了 管理 者 的 工作 ,还 缩短 
了 检测 时 间 , 使 问题 发 现 得 更 快 。 扫 描 器 并 不 直接 攻击 网 络 漏洞 ,而 是 仅仅 能 帮助 人 们 发 现 
目标 主机 的 某 些 内 在 弱点 。 一 个 好 的 扫描 器 能 对 它 得 到 的 数据 进行 分 析 ,帮助 查 找 目标 主 
机 的 漏洞 。 

网 络 型 扫描 器 具有 服务 扫描 检测 \ 后 门 程序 扫描 检测 、 密 码 破 译 扫描 检测 、 应 用 程序 扫 
描 检 测 . 阻 断 服务 扫描 测试 .系统 安全 扫描 检测 和 分 析 报 表 等 功能 。 

目前 ,互联 网 上 网 络 安全 工具 非常 多 ,它们 都 集成 了 很 多 功能 , 既 可 以 扫描 ,又 可 以 监听 
和 检测 ,还 可 以 捕获 和 分 析 信 息 , 如 SuperScan、GetNTUser、 PortScan、X-Scan、 Win Sniffer、 
pswmonitor、Sniffer、wireshark 等 ,用 户 可 根据 自己 的 使 用 情况 下 载 网 络 安全 工具 。 


6.5.2 网 络 监 听 


1. 网 络 监听 的 概念 

网 络 监听 是 指 利 用 工具 软件 监视 网 络 上 数据 的 流动 情况 。 网 络 管理 员 可 以 通过 监听 发 
现 网 络 中 的 异常 情况 ,从 而 更 好 地 管理 网 络 和 保护 网 络 ; 而 攻击 者 可 以 通过 监听 将 网 络 中 
正在 传播 的 信息 截获 或 捕获 ,从 而 进行 攻击 。 

随 着 网 络 技术 的 发 展 ,一般 的 黑客 能 够 攻破 网 络 安全 设备 的 可 能 性 还 是 较 少 的 。 但 是 
攻破 网 络 中 安全 性 能 较 差 的 主机 是 有 可 能 的 。 黑 客 在 攻破 相应 的 主机 后 ,就 可 能 利用 它 运 
行 网 络 监 听 软 件 工具 ,从 而 获取 网 络 中 的 信息 ,进一步 扩大 战果 。 因 此 ,作为 网 络 管理 员 , 监 
听 网 络 中 数据 的 异常 是 很 有 必要 的 。 

网 络 监听 可 以 在 网 上 的 任何 一 个 位 置 实施 ,如 局 域 网 中 的 一 台 主 机 、 网 关 或 远程 网 的 调 
制 解 调 器 之 间 等 。 在 以 太 网 中 ,传输 数据 的 工作 方式 是 将 要 发 送 的 数据 包 发 给 网 络 中 的 所 
有 主机 ,在 数据 包头 中 包含 着 应 该 接收 数据 包 的 主机 的 正确 地 址 。 因 此 ,只 有 与 数据 包 中 目 
标 地 址 一 致 的 那 台 主机 才 会 接收 数据 包 。 但 是 ,当主 机 工作 在 监听 模式 时 ,无 论 数据 包 中 的 
目标 地 址 是 什么 ,主机 都 将 接收 。 然 后 主机 再 对 监听 到 的 数据 包 进 行 分 析 , 得 到 局 域 网 中 的 
通信 信息 。 


网 络 监听 在 一 般 情况 下 是 很 难 被 发 现 的 ,因为 运行 网 络 监 听 程 序 的 主机 在 网 络 上 只 是 
被 动 地 接收 网 络 上 传输 的 信息 ,不 会 主动 采取 行动 。 它 既 不 会 与 网 络 上 的 其 他 主机 交换 信 
息 , 也 不 会 修改 网 络 信 息 , 因 此 检测 网 络 监听 的 行为 是 比较 困难 的 。 

2. 检测 网 络 监听 的 方法 

1) 根据 反应 时 间 判 断 

由 于 运行 网 络 监听 程序 的 主机 监听 数据 包 的 信息 量 是 非常 大 的 ,因此 主机 CPU 的 负 
载 很 重 ,响应 非常 缓慢 。 网 络 管理 员 向 网 络 上 发 送 大 量 的 垃圾 数据 包 , 就 可 以 根据 各 个 主机 
回应 的 情况 判断 出 是 否 有 监听 。 因 为 正常 的 主机 系统 回应 的 时 间 没 有 太 明 显 的 变化 ,而 处 
于 监听 状态 的 主机 系统 由 于 对 大 量 的 垃圾 信息 照 单 全 收 , 所 以 其 回应 时 间 会 发 生 较 大 的 变 
化 , 据 此 就 可 以 判断 出 该 主机 可 能 在 进行 网 络 监 听 。 

2) 利用 ping 模式 进行 监测 

网 络 管理 员 可 使 用 正确 的 IP 地 址 和 错误 的 MAC 地 址 去 ping 被 怀疑 的 主机 。 如 果 主 
机 没有 运行 监听 软件 则 会 没有 反应 ,否则 ,被 测试 的 主机 可 能 正在 运行 监听 软件 。 

3) 利用 arp 数据 包 进 行 监测 

这 种 模式 是 上 述 ping 模式 的 一 种 变 体 。 它 使 用 arp 数据 包 蔡 代 上 述 的 icmp 数据 包 ， 
向 局 域 网 内 的 主机 发 送 非 广播 方式 的 arp 包 。 如 果 局 域 网 内 的 某 个 主机 响应 了 这 个 arp 请 
求 ,那么 就 可 以 判断 它 很 有 可 能 就 处 于 网 络 监听 状态 ,这 是 日 前 相对 较 好 的 监测 模式 。 

3. 避免 网 络 监 听 的 方法 

(1) 从 逻辑 或 物理 上 对 网 络 分 段 。 网 络 分 段 通常 被 认为 是 控制 网 络 广播 风暴 的 一 种 基 
本 手段 ,但 其 实 也 是 保证 网 络 安 全 的 一 项 措施 。 其 目的 是 将 非法 用 户 与 敏感 的 网 络 资源 相 
互 隔离 ,从 而 防止 可 能 的 非法 监听 。 

(2) 使 用 交换 式 网 络 。 由 于 以 太 网 数据 包 采 用 广播 式 的 传输 方式 ,在 同一 网 络 中 的 任 
何 一 台 主 机 均 可 能 接收 数据 包 , 再 由 接收 主机 判断 数据 包 的 目标 地 址 与 其 地 址 是 否 相 同 , 从 
而 决定 是 否 接收 数据 包 ,这 就 可 能 导致 网 络 数据 被 监听 。 如 果 在 网 络 中 采用 交换 式 网 络 , 由 
于 交换 式 网 络 传输 数据 包 是 单 播 方式 ,数据 包 被 直接 传输 到 目标 主机 而 不 能 传输 到 其 他 主 
机 ,这 就 减少 了 网 络 数据 被 监听 的 可 能 。 因 此 ,为 了 避免 黑客 对 网 络 的 监听 ,可 采用 交换 式 
网 络 。 

(3) 使 用 加 密 技术 。 对 数据 包 加 密 后 在 网 络 中 传输 ,实施 网 络 监听 的 主机 即使 监听 到 
了 信息 也 无 法 了 解 信息 内 容 , 因 此 采用 加 密 技 术 能 够 很 好 地 保护 信息 的 安全 。 

(4) VLAN 技术 。 采 用 VLAN 技术 可 将 大 型 网 络 变 为 小 型 网 络 ,缩小 网 络 范围 。 由 于 
网 络 监听 只 能 在 同一 个 网 络 中 进行 ,因此 ,采用 VLAN 技术 可 减少 数据 信息 被 监听 的 概率 ， 
提高 网 络 信息 的 安全 性 。 但 采用 VLAN 技术 会 增加 网 络 数量 ,也 会 增加 实际 网 络 管理 的 复 


杂 性 。 
6.5.3 网 络 入 侵 检 测 


由 于 网 络 人 侵 事 件 的 危害 越 来 越 大 . 人 们 对 入 侵 检测 系统 (Intrusion Detection 
Systems,IDS) 的 关注 也 越 来 越 多 。 对 网 络 入 侵 攻 击 的 检测 与 防范 ,保障 计算 机 系统 、 网 络 
系统 及 整个 信息 基础 设施 的 安全 等 已 经 成 为 人 们 关注 的 重要 课题 。IDS 也 就 成 为 网 络 安全 
体系 中 的 一 个 重要 环节 。 
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1. 人 人 侵 检测 系统 

1) 入 侵 检 测 系 统 的 功能 

入 侵 检测 系统 (IDS) 是 用 来 监视 和 检测 入 侵 事件 的 系统 。 它 不 仅 能 监测 外 来 干涉 的 入 
侵 者 ,同时 也 能 监测 内 部 的 入 侵 行为 ,这 就 弥补 了 防火 墙 在 这 方面 的 不 足 。IDS 对 网 络 传输 
进行 即时 监视 ,在 发 现 可 疑 传输 时 发 出 警报 或 采取 主动 反应 措施 。 如 果 把 防火 墙 比 作 一 幢 
大 楼 的 门卫 ,IDS 就 是 这 幢 大 楼 里 的 监视 系统 。 一 旦 窍 贼 仆 窗 进入 大 楼 ,或 内 部 人 员 有 越界 
行为 ,只 有 实时 监视 系统 才能 发 现 情况 并 发 出 警告 。IDS 是 通过 对 计算 机 网 络 系统 中 的 若 
干 关 键 点 收集 信息 并 对 其 进行 分 析 , 从 而 发 现 网 络 系统 中 是 否 有 违反 安全 策略 的 行为 和 被 
攻击 的 迹象 。 

防火 墙 为 网 络 安全 提供 了 第 一 道 防线 ,IDS 为 防火 墙 之 后 的 第 二 道 安 全 闸门 ,在 不 影响 
网 络 性 能 的 情况 下 能 对 网 络 进行 监测 ,提供 对 内 部 攻击 `. 外 部 攻击 和 误 操作 的 实时 保护 ,从 
而 极 大 地 减少 各 种 攻击 造成 的 损害 。IDS 在 发 现 人 侵 企图 后 通过 向 管理 员 提 供 必 要 的 信 
息 ,提示 网 络 管理 员 有 效 地 监视 .审计 并 处 理 系 统 的 安全 事件 。 

与 其 他 安全 产品 不 同 的 是 ,IDS 需要 更 多 的 智能 , 它 必须 能 对 得 到 的 数据 进行 分 析 ,并 
得 出 有 用 的 结果 。 一 个 成 功 的 IDS 不 但 能 大 大 简化 管理 员 的 工作 ,保证 网 络 安全 的 运行 ， 
使 管理 员 时 刻 了 解 网 络 系统 (包括 程序 ,文件 和 硬件 设备 等 ) 的 任何 变更 ,还 能 给 网 络 安全 策 
略 的 制订 提供 指导 。IDS 在 发 现 人 侵 后 ,会 及 时 做 出 响应 ,包括 切断 网 络 连 接 、 记 录 事 件 和 
报警 等 。 概 括 起 来 ,IDS 具有 以 下 功能 。 

(1) 监视 网 络 系统 的 运行 状况 ,查找 非法 用 户 的 访问 和 合法 用 户 的 越权 操作 。 

(2) 对 系统 的 构造 和 弱点 进行 审计 。 

(3) 识别 分 析 攻 击 的 行为 特征 并 报警 。 

(4) 评估 重要 系统 和 数据 文件 的 完整 性 。 

(5) 对 操作 系统 进行 跟踪 审计 ,并 识别 用 户 违反 安全 策略 的 行为 。 

(6) 容错 功能 。 即 使 系统 发 生 骨 省 ,也 不 会 丢失 数据 ,或 在 系统 重启 后 重建 自己 的 信 
息 库 。 

2) 入 侵 检测 过 程 

入 侵 检测 的 原理 就 是 从 收集 到 的 数据 中 ,检测 出 符合 某 一 特征 的 数据 。 入 侵 者 在 攻击 
时 会 留 下 一 些 痕迹 ,这 些 痕迹 与 系统 正常 运行 时 产生 的 数据 混合 在 一 起 。 入 侵 检测 的 任务 
就 是 要 从 这 些 混 合 的 数据 中 找 出 具有 特征 的 数据 .判断 是 否 有 入 侵 。 如 果 判 断 有 入 侵 存 在 ， 
就 产生 报警 信号 。 

IDS 进行 人 侵 检测 通常 有 信息 收集 和 信息 分 析 两 个 过 程 。 

(1) 信息 收集 。 和 侵 检测 的 第 一 步 是 信息 收集 ,信息 收集 的 内 容 包括 系统 、 网 络 、 数 据 
及 用 户 活动 的 状态 和 行为 。 网 络 管理 员 应 在 网 络 系统 中 的 若干 个 不 同 的 关键 点 (不 同 网 段 
和 不 同 主机 ) 上 收集 信息 。 入 侵 检 测 很 大 程度 上 依赖 于 收集 到 的 信息 的 可 靠 性 和 正确 性 。 
黑客 对 系统 的 修改 可 能 会 使 系统 的 功能 失常 ,但 看 起 来 却 跟 正 常 时 一 样 ,而 实际 上 则 不 是 。 
这 需要 保证 用 来 检测 网 络 系统 软件 的 完整 性 .特别 是 IDS 软件 本 身 应 具有 相当 强 的 坚固 
性 ,以 防止 因 被 自 改 而 收集 到 错误 的 信息 。 

入 侵 检测 可 利用 的 信息 一 般 来 自 四 个 方面 。 

。 系统 和 网 络 日 志文 件 。 


。 目录 和 文件 中 的 改变 。 

。 程 序 执行 中 的 行为 。 

。 物理 形式 的 人 侵 信息 。 

(2) 信息 分 析 。 一 般 通 过 模式 匹配 、 统 计 分 析 和 完整 性 分 析 三 种 技术 手段 对 收集 到 的 
系统 网络、 数据 及 用 户 活动 的 状态 和 行为 等 信息 进行 分 析 。 其 中 前 两 种 方法 用 于 实时 入 侵 
检测 ,而 完整 性 分 析 则 用 于 事后 分 析 。 

模式 匹配 就 是 将 收集 到 的 信息 与 已 知 的 网 络 系统 已 有 的 模式 数据 库 进行 比较 ,从 而 发 
现 违反 安全 策略 的 行为 。 该 方法 的 优点 是 只 需 收集 相关 的 数据 信息 ,减少 系统 负担 , 且 技术 
已 相当 成 熟 ; 但 缺点 是 需要 不 断 地 升级 系统 以 应 对 不 断 出 现 的 黑客 攻击 , 且 不 能 检测 未 出 

利用 统计 分 析 方 法 为 系统 对 象 (如 用 户 文件 .目录 和 设备 等 ) 创 建 一 个 统计 描述 ,统计 
正常 使 用 时 的 一 些 测量 属性 (如 访问 次 数 、 操 作 失败 次 数 和 延 时 等 )。 测 量 属 性 的 平均 值 将 
被 用 来 与 网 络 、 系 统 的 行为 进行 比较 ,任何 观察 值 在 正常 值 范围 之 外 时 ,都 可 认为 有 入 侵 发 
生 。 该 方法 的 优点 是 可 检测 到 未 知 的 入 侵 和 更 为 复杂 的 入 侵 ; 缺点 是 误 报 、 漏 报 率 高 , 且 不 
适应 用 户 正 常 行为 的 突然 改变 。 

完整 性 分 析 主 要 关注 某 个 文件 或 对 象 是 否 被 更 改 。 它 能 发 现 导致 文件 或 其 他 对 象 的 任 
何 改变 。 完 整 性 分 析 一 般 以 批 处 理 方式 实现 ,用 于 事后 分 析 而 不 用 于 实时 响应 。 

2. 人 侵 检 测 技术 

入 侵 检测 技术 是 一 种 能 够 及 时 发 现 并 报告 系统 异常 现象 ,用 于 检测 网 络 中 违反 安全 策 
略 行为 的 技术 。IDS 所 采用 的 基本 技术 有 特征 检测 技术 和 异常 检测 技术 。 

1) 特征 检测 技术 

特征 检测 技术 假定 所 有 的 入 侵 行为 和 手段 都 能 够 表达 一 种 模式 或 特征 。 如 果 将 以 往 发 
现 的 所 有 网 络 攻击 的 特征 总 结 出 来 ,并 建立 一 个 人 侵 信 息 库 , 则 IDS 可 以 将 当前 捕获 到 的 
网 络 行为 特征 与 人 侵 信息 库 中 的 特征 信息 相 比较 ,如 果 匹 配 , 则 当前 行为 就 被 认定 是 入 侵 行 
为 。 特 征 检测 技术 可 以 准确 地 检测 出 已 知 的 入 侵 行 为 ,并 对 每 一 种 入 侵 都 能 提供 详细 的 资 
料 ,使 得 使 用 者 能 够 方便 地 做 出 响应 ,但 它 不 能 检测 出 未 知 的 入 侵 行 为 。 

特征 检测 技术 具有 检测 准确 度 高 .技术 相对 成 熟 \ 便 于 进行 系统 防护 等 优点 ,但 也 具有 
入侵 信息 的 收集 和 更 新 困难 、 难 以 检测 本 地 入 侵 和 新 的 入 侵 行 为 ,维护 特征 库 的 工作 量 大 等 

2) 异常 检测 技术 

异常 检测 技术 是 指 根据 用 户 的 行为 和 系统 资源 的 使 用 状况 判断 是 否 存在 网 络 人 侵 , 因 
此 又 被 称 为 基于 行为 的 人 侵 检 测 技术 。 蜡 常 检测 技术 首先 假定 网 络 攻击 行为 是 不 常见 的 或 
异常 的 ,区 别 于 所 有 的 正常 行为 。 如 果 能 够 为 用 户 和 系统 的 所 有 正常 行为 总 结 活动 规律 并 
建立 行为 模型 ,那么 IDS 可 以 将 当前 捕获 到 的 网 络 行为 与 行为 模型 进行 比较 , 若 人 侵 行为 
偏离 了 正常 行为 轨迹 ,就 可 以 被 检测 出 来 。 

异常 检测 技术 可 识别 主机 或 网 络 中 不 寻常 的 行为 ,识别 攻击 与 正常 活动 的 差异 。 异 常 
检测 的 优点 是 能 够 检测 出 新 的 入 侵 或 从 未 发 生 过 的 入 侵 ,对 操作 系统 的 依赖 性 较 小 ,可 检测 
出 属于 滥用 权限 型 的 入 侵 ; 其 缺点 是 报警 率 高 和 行为 模型 建立 困难 。 
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3) 入 侵 检测 技术 的 发 展 

随 着 互联 网 的 发 展 和 宽带 、 高 速 网 络 的 普及 应 用 ,IDS 技术 也 有 了 很 大 的 发 展 。 近 几 年 
来 出 现 了 一 些 新 的 检测 技术 ,如 高 速 实时 检测 技术 、 大 规模 分 布 式 的 检测 技术 、 基 于 生物 免 
疫 学 原理 的 检测 技术 和 数据 挖掘 技术 等 。 

(1) 高 速 实时 的 检测 技术 。 

如 今 高 速 计算 机 网 络 系统 应 用 已 非常 普及 ,IDS 要 想 在 复杂 的 高 速 网 络 中 继续 扮演 安 
全 闸门 的 角色 ,必须 在 传统 技术 的 基础 上 进行 改进 和 突破 ,这 也 对 IDS 性 能 提出 了 更 高 的 
要 求 。 目前 ,已 有 主流 IDS 厂商 推出 了 能 够 适应 千 兆 环境 的 实时 入 侵 检测 技术 。 高 速 实时 
入 侵 检测 技术 的 实现 主要 采用 以 下 措施 。 

Qa 协议 分 析 融 合 模式 匹配 的 检测 方式 。 协 议 分 析 是 新 一 代 IDS 探测 攻击 手法 的 主要 
技术 , 它 利 用 网 络 协议 的 高 度 规则 性 快速 探测 攻击 的 存在 ,其 优势 在 于 能 够 详细 解析 各 种 协 
议 , 使 用 所 有 已 知 的 协议 信息 排除 各 种 异常 协议 结构 的 攻击 ,大 大 降低 传统 模式 匹配 带 来 的 
误 报 问 题 ,提高 检测 效率 ,减少 系统 资源 消耗 。 如 基于 命令 解析 和 协议 分 析 的 千 兆 网 络 传 感 
器 具有 900M 网 络 流量 的 100% 检 测 能 力 。 这 种 将 协议 分 析 和 特征 模式 匹配 技术 相 融 合 的 
方式 ,可 满足 高 速 用 户 的 应 用 需求 ,成 为 高 速 网 络 发 展 的 主流 技术 。 

@ 负载 均衡 技术 。 负 载 均衡 通常 是 通过 并 行 的 几 台 设备 ,将 处 理 流 量 尽量 平均 分 配 到 
各 个 设备 上 ,使 总 体 的 处 理 负 荷 均衡 ,从 而 使 总 体 性 能 得 到 大 大 提高 。 如 千 兆 网 IDS 采用 
基于 中 央 控 制 下 并 行 和 分 布 式 共存 的 负载 均衡 设计 ,在 高 速 网 络 环境 中 通过 多 台 检 测 器 进 
行 分 析 , 从 而 能 够 适应 更 大 的 网 络 流量 。 

@ 零 拷贝 方式 。 传 统 网 络 数据 包 的 处 理 要 通过 系统 调用 将 网 卡 中 的 数据 包 复 制 到 上 
层 应 用 系统 中 ,这 样 会 占用 过 多 的 系统 资源 从 而 使 系统 性 能 下 降 。 一 种 改进 的 网 络 数据 包 
处 理 方式 是 通过 重 写 网 卡 驱动 ,使 网 卡 驱 动 与 上 层 系统 共享 一 块 内 存 区 域 ,网 卡 从 网 络 上 捕 
获 到 数据 包 后 直接 传递 给 IDS, 这 一 过 程 避免 了 数据 的 内 存 备份 ,最 大 限度 地 将 有 限 的 
CPU 资源 让 给 协议 分 析 和 模式 匹配 等 进程 去 利用 ,提高 了 整体 性 能 。 这 种 改进 的 网 络 数据 
包 处 理 方式 就 是 零 拷贝 方式 。 

(2) 大 规模 分 布 式 的 检测 技术 。 

传统 集中 式 IDS 的 基本 模型 是 在 网 络 的 不 同 网 段 放置 多 个 探测 器 ,收集 当前 网 络 状 态 
的 信息 ,然后 将 这 些 信息 传送 到 中 央 控 制 台 进行 分 析 。 这 种 方式 存在 难以 应 对 大 规模 的 分 
布 式 攻击 ,集中 式 的 数据 传输 会 增加 网 络 负担 和 网 络 传输 时 延 等 问题 。 为 了 解决 集中 式 
IDS 问题 ,大 规模 分 布 式 结构 的 检测 技术 应 运 而 生 。 如 采用 本 地 代理 处 理 本 地 数据 、 中 央 代 
理 处 理 整体 数据 的 分 布 式 处 理 模式 。 与 集中 式 不 同 , 它 强调 通过 全 体 智 能 代理 的 协同 工作 
来 分 析 入 侵 策略 。 美 国 普 渡 大 学 开发 的 AAFID 系统 就 是 一 种 采用 树 形 分 层 的 代理 群体 结 
构 : 最 根部 是 监视 器 代理 ,提供 全 局 的 控制 ,管理 以 及 分 析 由 上 一 层 结 点 提供 的 信息 ; 树叶 
部 分 代理 专门 用 来 收集 信息 ; 中 间 层 的 代理 收发 器 可 实现 对 底层 代理 的 控制 和 对 信息 进行 
预 处 理 ,并 将 精练 的 信息 反馈 给 上 层 监视 器 。 

(3) 基于 数据 挖掘 的 入侵 检测 技术 。 

数据 挖掘 技术 是 一 项 通用 的 知识 发 现 技 术 , 该 技术 可 从 海量 的 数据 中 提取 对 用 户 有 用 
的 数据 。 将 该 技术 用 于 入 侵 检测 领域 ,利用 数据 挖掘 中 的 关联 分 析 .序列 模式 分 析 等 算法 提 
取 相 关 用 户 的 行为 特征 ,并 根据 这 些 特征 生成 安全 事件 的 分 类 模型 ,应 用 于 安全 事件 的 自动 








鉴别 。 将 数据 挖掘 技术 应 用 于 网 络 安全 审计 数据 中 ,对 安全 日 志 中 的 数据 进行 关联 性 分 析 ， 
以 发 掘 出 入侵 数据 包 的 特征 和 攻击 序列 模型 ,从 测试 数据 集中 构造 出 入侵 模型 。 一 个 完整 
的 基于 数据 挖掘 的 和 人 侵 检测 模型 包括 对 审计 数据 的 采集 和 预 处 理 、 特 征 变量 选取 、 算 法 比 
较 、 挖 气 结 果 处 理 等 一 系列 过 程 。 目 前 ,国际 国内 对 这 个 方向 的 研究 很 普遍 ,也 很 活跃 。 

(4) 基于 先进 检测 算法 的 人 侵 检测 技术 。 

在 人 侵 检 测 技术 的 发 展 过 程 中 ,新 算法 的 出 现 可 以 有 效 地 提高 检测 的 效率 。 如 下 三 种 
基于 先进 算法 的 人 侵 检测 技术 为 网 络 系统 安全 注入 了 新 的 活力 ,它们 分 别 是 计算 机 免疫 技 
术 、 神 经 网 络 技术 和 遗传 算法 。 

基于 生物 免疫 学 原理 的 计算 机 免疫 技术 是 由 直接 受到 生物 免疫 机 制 的 启发 而 提出 的 。 
生物 系统 中 的 脆弱 性 因素 都 是 由 免疫 系统 来 妥善 处 理 的 ,而 这 种 免疫 机 制 在 处 理 外 来 异体 
时 呈现 出 分 布 .多样 性 、 自 治 以 及 自修 复 的 特征 。 基 于 免疫 技术 的 IDS 充分 考虑 到 检测 数 
据 源 的 多 样 性 ,赋予 检测 系统 规则 发 现 、 辩 识 和 扩展 功能 ,能 有 效 检测 已 知 和 未 知 的 攻击 行 
为 ,增强 结 点 和 网 络 的 安全 性 ,降低 漏 报 率 和 误 报 率 ,使 实时 入 侵 检 测 成 为 可 能 。 

神经 网 络 是 一 种 基于 大 量 神 经 元 广泛 互联 的 数学 模型 ,具有 自学 习 、 自 组 织 、 自 适应 的 
特点 ,广泛 应 用 于 模式 识别 领域 。 神 经 网 络 技术 具备 很 强 的 攻击 模式 分 析 能 力 ,在 概念 和 处 
理 方 法 上 都 适合 IDS 的 要 求 , 利 用 神经 网 络 技术 可 以 对 各 种 入 侵 和 攻击 进行 识别 和 检测 ， 
并 能 识别 许多 未 知 网 络 人 侵 的 变种 。 目 前 ,神经 网 络 技术 已 成 为 人 侵 检 测 技术 领域 的 热点 
技术 之 一 。 

遗传 算法 是 一 种 借鉴 生物 界 自然 选择 和 遗传 机 制 的 高 度 并 行 、 随 机 、 自 适应 的 全 局 优化 
概率 搜索 算法 。 利 用 遗传 算法 的 优化 能 力 开展 基于 遗传 算法 的 网 络 人 侵 检 测 ,可 提高 检测 
算法 对 未 知人 侵 检 测 的 速度 以 及 有 效 性 和 准确 性 。 目 前 ,利用 遗传 算法 进行 人 侵 检测 已 经 
取得 了 许多 研究 成 果 。 

总 之 ,人 侵 检测 技术 作为 当前 网 络 安全 研究 的 热点 ,得 到 了 快速 发 展 并 且 具 有 广阔 的 应 
用 前 景 ,就 需要 有 更 多 的 研究 人 员 参 与 。IDS 只 有 在 基础 理论 研究 和 工程 项 目 开发 等 多 个 
层面 上 同时 发 展 ,才能 全 面 提高 整体 检测 效率 。 


6.6 虚拟 专用 网 


虚拟 专用 网 (Virtual Private Network,VPN) 是 指 依靠 Internet 服务 提供 者 (ISP) 和 其 
他 网 络 服务 提供 者 (NSP) 利 用 公用 网 络 建立 的 专用 数据 通信 网 络 。VPN 可 使 用 户 利用 公 
用 网 的 资源 将 分 散在 各 地 的 机 构 动 态 地 连接 起 来 ,进行 低 成 本 的 数据 安全 传输 。 

VPN 是 由 物理 上 分 布 在 不 同 地 点 的 网 络 通过 公用 网 络 ( 如 Internet) 连 接 构成 的 逻辑 
上 的 虚拟 子 网 ,并 采用 认证 访问 控制 ,数据 的 保密 性 和 完整 性 等 安全 措施 ,使 得 数据 通过 安 
全 的 “加 密 管道 ”在 公用 网 络 中 传输 。 


6.6.1 VPN 技术 基础 


VPN 是 通过 公用 网 络 建立 的 一 个 临时 的 、 安 全 的 连接 ,是 对 企业 内 部 网 的 扩展 。 它 可 
以 实现 不 同 网 络 的 组 件 和 资源 之 间 的 相互 连接 ,能 够 利用 Internet 或 其 他 公共 互联 网 络 的 
基础 设施 为 用 户 创建 隧道 ,并 提供 与 专用 网 络 一 样 的 安全 和 功能 保障 。 
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VPN 技术 实现 内 部 网 信息 在 公用 信息 网 中 的 传输 ,就 如 同 在 落 茫 的 广域网 中 为 用 户 拉 
出 一 条 专线 一 样 。VPN 对 用 户 端 是 透明 的 ,用 户 好 像 使 用 一 条 专用 线路 在 客户 计算 机 和 企 
业 服 务 器 之 间 建 立 点 对 点 的 连接 ,进行 数据 的 传输 。VPN 允许 远程 通信 方 、 销 售 人 员 或 企 
业 分 支 机构 使 用 Internet 等 公用 网 络 的 路 由 基础 设施 以 安全 的 方式 与 位 于 企业 局 域 网 端的 企 
业 服 务 器 建立 连接 。 对 用 户 来 说 ,公用 网 络 起 到 了 “虚拟 专用 ”的 效果 ,通过 VPN ,网 络 对 每 个 
使 用 者 都 是 专用” 的。 使 用 VPN 技术 可 以 解决 在 当今 远程 通信 量 日 益 增 大 ,企业 全 球 运作 广 
泛 分 布 的 情况 下 ,员工 需要 访问 企业 网 资源 ,企业 相互 之 间 必 须 进 行 及 时 和 有 效 的 通信 问题 。 

1. VPN 的 功能 

VPN 技术 同样 支持 企业 通过 Internet 等 公用 网 络 与 分 支 机构 或 其 他 公司 建立 连接 , 进 
行 安全 通信 。 这 种 跨越 Internet 建立 的 VPN 连接 逻辑 上 等 同 于 两 地 之 间 使 用 广域网 建立 
的 连接 。 虽 然 VPN 通信 建立 在 公用 网 络 的 基础 上 ,但 是 用 户 在 使 用 VPN 时 却 感觉 如 同 在 
使 用 专用 网 络 进行 通信 一 样 。 

VPN 使 用 经 过 身份 验证 的 链接 以 确保 只 有 授权 用 户 才 可 以 连接 到 网 络 ,而 且 可 使 用 加 
密 来 确保 其 他 人 无 法 截获 或 使 用 通过 Internet 传送 的 数据 。 

一 般 来 说 ,企业 在 选用 一 种 远程 网 络 互联 方案 时 都 希望 能 够 对 访问 企业 资源 和 信息 的 
要 求 加 以 控制 。 所 选用 的 方案 应 当 既 能 够 实现 授权 用 户 与 企业 局 域 网 资源 的 自由 连接 和 不 
同 分 支 机 构 之 间 的 资源 共享 ,又 能 够 确保 企业 数据 在 公用 网 络 或 企业 内 部 网 络 上 传输 时 安 
全 性 不 受 破坏 。 因 此 ,一 个 成 功 的 VPN 方案 应 具有 以 下 功能 。 

(1) 用 户 验 证 。VPN 方案 必须 能 够 验证 用 户 身份 并 严格 控制 只 有 授权 用 户 才能 访问 
VPN。 另 外 ,方案 还 必须 能 够 提供 审计 和 计 费 功能 ,显示 何人 在 何 时 访问 了 何 种 信息 。 

(2) 地 址 管理 。VPN 方案 必须 能 够 为 用 户 分 配 专用 网 络 上 的 地 址 并 确保 地 址 的 安全 性 。 

(3) 数据 加 密 。 对 通过 公用 网 络 传输 的 数据 进行 加 密 ,确保 网 络 上 其 他 未 授权 的 用 户 
无 法 读 取 该 信息 。 

(4) 密 钥 管 理 。VPN 方案 必须 能 够 生成 并 更 新 客户 端 和 服务 器 的 加 密 密 钥 。 

(5) 多 协议 支持 。VPN 方案 必须 支持 公用 网 络 上 普遍 使 用 的 基本 协议 。 以 PPTP 或 
L2TP 协议 为 基础 的 VPN 方案 既 能 够 满足 以 上 所 有 的 基本 要 求 ,又 能 充分 利用 遍及 世界 各 
地 的 Internet 优势 。 

2. VPN 的 特点 

一 般 情况 下 ,一 个 高 效 、 可 靠 的 VPN 应 具备 以 下 特点 。 

(1) 费用 低 。 由 于 使 用 Internet 进行 传输 相对 于 租用 专线 来 说 费用 低廉 ,所 以 VPN 的 
出 现 使 企业 通过 Internet 既 安 全 又 经 济 地 传输 内 部 机 密 信息 成 为 可 能 。 

(2) 安全 保障 。 虽 然 实 现 VPN 的 技术 和 方式 有 很 多 ,但 这 些 技术 和 方式 均 应 保证 通过 
公用 网 络 平台 传输 数据 的 专用 性 和 安全 性 。 在 非 面向 连接 的 公用 IP 网 络 上 建立 一 个 逻辑 
的 、 点 对 点 的 连接 , 称 为 建立 一 个 隧道 。 可 以 利用 加 密 技术 对 经 过 隧道 传输 的 数据 进行 加 
密 , 以 保证 数据 只 被 指定 的 发 送 者 和 接收 者 知晓 ,从 而 保证 数据 的 机 密 性 和 安全 性 。 

(3) 保证 服务 质量 (QoS)。VPN 可 为 企业 数据 提供 不 同等 级 的 服务 质量 (QoS) 保 证 。 

(4) 可 扩充 性 和 灵活 性 。VPN 能 够 支持 通过 Intranet 和 Extranet 的 任何 类 型 的 数据 
流 ,方便 增加 新 的 结 点 ,支持 多 种 类 型 的 传输 媒介 ,可 以 满足 同时 传输 语音 、 图 像 和 数据 等 新 
应 用 对 高 质量 传输 以 及 带宽 增加 的 需求 。 











(5) 可 管理 性 。 在 管理 方面 ,VPN 要 求 企 业 将 其 网 络 管理 功能 从 局 域 网 无 缝 地 延伸 到 
公用 网 ,甚至 是 客户 和 合作 伙伴 。 虽 然 可 以 将 一 些 次 要 的 网 络 管理 任务 交 给 ISP 去 完成 , 企 
业 仍 需要 自行 完成 许多 网 络 管理 任务 。 所 以 一 个 完善 的 VPN 管理 系统 是 必 不 可 少 的 。 
VPN 管理 主要 包括 安全 管理 .设备 管理 .配置 管理 .访问 控制 列表 管理 和 QoS 管理 等 内 容 。 

3. VPN 的 连接 

VPN 支持 以 安全 的 方式 通过 公用 网 络 连接 来 实现 远程 访问 企业 资源 。 

1) 通过 Internet 实现 远程 访问 

VPN 支持 以 安全 的 方式 通过 公用 网 络 远程 访问 企业 资源 。 与 使 用 专线 拨打 长 途 或 市 
话 连接 企业 的 网 络 访问 服务 器 CNAS) 不 同 ,VPN 用 户 首先 拨 通 本 地 ISP 的 NAS, 然 后 
VPN 软件 利用 与 本 地 ISP 建立 的 连接 在 拨号 用 户 和 企业 VPN 服务 器 之 间 创 建 一 个 跨越 
Internet 或 其 他 公用 网 络 的 VPN。 

2) 通过 Internet 实现 网 络 互联 

可 以 采用 两 种 方式 使 用 VPN 连接 远程 局 域 网络 , 一 种 是 使 用 专线 连接 分 支 机 构 和 企 
业 局 域 网 , 男 一 种 是 使 用 拨号 线路 连接 分 支 机 构 和 企业 局 域 网 。 第 一 种 方式 不 需要 使 用 价 
格 昂贵 的 长 距离 专用 线路 ,分 支 机 构 和 企业 端 路 由 器 可 以 使 用 各 自 本 地 的 专用 线路 通过 本 
地 的 ISP 连通 Internet, VPN 软件 使 用 与 本 地 ISP 建立 的 连接 在 分 支 机 构 和 企业 端 路 由 器 
之 间 创 建 一 个 VPN。 第 二 种 方式 是 分 支 机 构 端 的 路 由 器 可 以 通过 拨号 方式 连接 本 地 ISP， 
VPN 软件 使 用 与 本 地 ISP 建立 的 连接 在 分 支 机 构 和 企业 端 路 由 器 之 间 创 建 一 个 跨越 
Internet 的 VPN。 

3) 连接 企业 内 部 网 络 计 算 机 

在 企业 的 内 部 网 络 中 ,考虑 到 一 些 部 门 可 能 存储 有 重要 数据 ,可 以 采用 VPN 方案 来 确 
保 数据 的 安全 性 。 通 过 使 用 一 台 VPN 服务 器 既 能 实现 与 整个 企业 网 络 的 连接 ,又 可 以 保 
证 保密 数据 的 安全 性 。 路 由 器 虽然 也 能 实现 网 络 之 间 的 互联 ,但 是 并 不 能 对 流向 敏感 网 络 
的 数据 进行 限制 。 而 企业 网 络 管理 人 员 通 过 使 用 VPN 服务 器 ,指定 只 有 符合 特定 身份 要 
求 的 用 户 才 能 连接 VPN 服务 器 并 获得 访问 敏感 信息 的 权利 。 此 外 ,可 以 对 所 有 的 VPN 数 
据 进行 加 密 , 从 而 确保 数据 的 安全 性 。 

上 述 VPN 方案 使 用 各 种 形式 的 隧道 协议 来 实现 连接 。 隧 道 协议 先 将 网 络 数据 包 封 
装 、 加 密 , 然 后 通过 Internet 安全 地 进行 传送 。 在 封装 与 加 密 数 据 包 的 过 程 中 ,隧道 协议 隐 
藏 每 个 将 要 通过 VPN 发 送 的 数据 包 的 源 与 目的 IP 地 址 。 

一 个 典型 的 远程 访问 VPN 的 组 成 如 图 6. 6. 1 所 示 。VPN 服务 器 接受 来 自 VPN 客户 
机 的 连接 请 求 ,VPN 客户 机 可 以 是 终端 计算 机 ,也 可 以 是 路 由 器 。 隧 道 是 数据 传输 通道 ,在 
其 中 传输 的 数据 必须 经 过 封装 。 在 VPN 连接 中 ,数据 必须 经 过 加 密 。 数 据 经 过 封装 、 加 密 
后 在 隧道 上 传输 。 公 用 网 络 可 以 是 Internet, 也 可 以 是 其 他 共享 型 网 络 。 
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VPN 服 务 器 VPN 客 户 端 
图 6. 6.1 典型 的 远程 访问 VPN 的 组 成 
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6.6.2 VPN 关键 技术 


VPN 是 一 种 扩展 企业 网 络 和 增加 网 络 用 户 功 能 的 极 好 途径 。 由 于 允许 远程 用 户 进入 
公司 网 络 , 因 此 必须 采取 一 些 措施 确保 远程 用 户 访 问 网 络 时 不 会 出 现 安全 漏洞 。VPN 可 采 
用 多 种 安全 技术 来 保证 网 络 传 输 的 安全 性 。 这 些 安全 技术 主要 有 隧道 (Tunneling) 技 术 、 加 
密 / 解 密 (Encryption&.Decryption) 技术 、 密 钥 管 理 (Key Management) 技 术 、 身 份 认 证 
(Authentication) 技 术 和 访问 控制 (Access Control) 技 术 。 

1. 隧道 协议 和 隧道 技术 

隧道 技术 是 VPN 的 基本 技术 , 它 是 在 公用 网 上 建立 的 一 条 数据 通道 (隧道 ) ,让 数据 包 
通过 这 条 隧道 传输 。 隧 道 技术 就 是 一 种 利用 互联 网 络 基础 设施 在 网 络 之 间 传 递 数据 的 技 
术 。 使 用 隧道 技术 传递 的 数据 (或 负载 ) 可 以 是 不 同 协议 的 数据 帧 或 包 。 隧 道 协议 将 其 他 协 
议 的 数据 帧 或 包 重 新 封装 在 新 的 报头 中 发 送 。 被 封装 的 数据 包 在 互联 网 上 传递 时 所 经 过 的 
逻辑 路 径 称 为 隧道 。 隧 道 技术 是 包括 数据 封装 、 传 输 和 解 封 在 内 的 全 过 程 。 

目前 ,常见 的 隧道 协议 主要 有 第 二 层 隧 道 协 议和 第 三 层 隧 道 协议 两 类 。 这 两 类 隧道 协 
议 的 区 别 主要 在 于 用 户 数据 在 网 络 协 议 栈 的 第 几 层 封 装 。 第 二 层 隧道 协议 先 把 各 种 网 络 协 
议 封装 到 PPP 中 ,再 把 整个 数据 包装 入 隧道 协议 中 ,形成 的 数据 包 依靠 第 二 层 协 议 进行 传 
输 。 第 三 层 隧道 协议 把 各 种 网 络 协议 直接 装 入 隧道 协议 中 ,形成 的 数据 包 依靠 第 三 层 协议 
进行 传输 。 

第 二 层 隧道 协议 对 应 OSI 参考 模型 中 的 数据 链 路 层 , 使 用 帧 作为 数据 交换 单位 。 第 二 
层 隧 道 协议 将 数据 封装 在 点 对 点 协议 PPP 帧 中 ,再 把 整个 数据 包装 和 人 隧道 协议 中 。 这 种 由 
双重 封装 方法 形成 的 数据 包 依 靠 第 二 层 协议 进行 传输 。 第 二 层 隧 道 协议 有 第 二 层 转 发 协议 
(CL2F) \ 点 对 点 隧道 协议 (PPTP) 和 第 二 层 隧 道 协议 (L2TP) 等 。L2TP 协议 是 IETF 标准 ， 
由 IETF 融合 PPTP 与 L2F 而 形成 。 

第 三 层 隧道 协议 对 应 OSI 参考 模型 中 的 网 络 层 , 使 用 包 作为 数据 交换 单位 。 第 三 层 隧 
道 协议 把 各 种 网 络 协议 直接 装 和 人 隧道 协议 中 ,形成 的 数据 包 依 靠 第 三 层 协议 进行 传输 。 
第 三 层 隧道 协议 有 IPSec、MPLS、SSL、VTP 等 。IPSec 由 一 组 RFC 文档 组 成 , 它 定 义 了 一 
个 系统 来 提供 安全 协议 选择 和 安全 算法 ,确定 服务 所 使 用 的 密 钥 ,从 而 在 全 层 提供 安全 
保障 。 

2. VPN 中 的 安全 技术 

VPN 是 在 不 安全 的 Internet 中 进行 通信 的 ,通信 的 内 容 可 能 涉及 单位 或 公司 的 机 密 数 
据 , 因 此 其 安全 性 非常 重要 。VPN 中 的 安全 技术 通常 由 认证 加密/ 解密 、 密 钥 管 理 和 访问 
控制 技术 组 成 。 

1) 认证 技术 

在 正式 的 隧道 连接 之 前 ,VPN 要 运用 身份 认证 技术 确认 使 用 者 和 设备 的 身份 ,以 便 系 
统 能 够 进一步 实施 资源 访问 控制 或 用 户 授权 。 在 安全 机 制 的 协商 和 密 钥 的 交换 等 阶段 均 需 
要 进行 身份 的 认证 ,以 避免 恶意 用 户 的 攻击 。 

VPN 的 用 户 认证 机 制 分 为 数据 链 路 层 认 证 、 网 络 层 认证 和 应 用 层 认 证 。 其 中 数据 链 路 
层 的 认证 有 PPP 协议 的 CHAP 认证 和 RADIUS 认证 。 网 络 层 认证 有 IPSec 协议 认证 和 
SSL 协议 认证 。 应 用 层 认证 有 Kerberos 协议 认证 。 


2) 加 密 / 解 密 技术 

加 密 /解密 技术 是 在 VPN 应 用 中 将 认证 信息 、 通 信 数 据 等 由 明文 转换 为 密 文 和 由 密 文 
变 为 明文 的 相关 技术 ,其 可 靠 性 主要 取决 于 加 密 / 解 密 的 算法 及 强度 。 

在 VPN 中 为 了 保证 重要 的 数据 在 公共 网 上 传输 时 不 被 他 人 窃取 而 采用 了 加 密 机 制 。 

PPTP 协议 采用 Microsoft 设计 的 MPPE 协议 技术 。MPPE 规定 了 在 第 二 层 对 通信 机 
密 性 保护 的 机 制 , 可 以 支持 40 位 密 钥 的 标准 加 密 方案 和 128 位 密 钥 的 增强 加 密 方案 。 

L2TP 协议 采用 IPSec 机 制 对 数据 进行 加 密 。IPSec 通过 ISAKMP/IKE/Oakley 协商 
确定 几 种 可 选 的 数据 加 密 方法 ,如 DES 和 3DES。 

3) 密 钥 管理 技术 

密 钥 管理 技术 的 主要 任务 是 如 何在 公用 数据 网 上 安全 地 传递 密 钥 。VPN 中 密 钥 的 分 
发 与 管理 非常 重要 。 密 钥 的 分 发 主要 采用 密 钥 交 换 协议 动态 分 发 。 密 钥 交 换 协议 采用 软件 
方式 动态 生成 密 钥 ,适用 于 复杂 的 网 络 且 密 钥 可 快速 更 新 ,可 以 显著 提高 VPN 的 安全 性 。 

4) 访问 控制 技术 

访问 控制 技术 决定 允许 什么 人 (用 户 ) 可 访问 系统 ,允许 访问 系统 的 何 种 资源 以 及 如 何 
使 用 这 些 资源 等 。 访 问 控制 能 够 阻止 未 经 允许 的 用 户 有 意 或 无 意 地 获取 数据 和 授权 用 户 的 
访问 资源 等 。 


6.6.3 网 络 中 VPN 的 连接 


VPN 有 很 多 端 接 设备 ,这 些 设备 与 VPN 的 端 接点 主要 有 路 由 器 防火墙 和 专用 VPN 
设备 。 

1. 路 由 器 端 接 VPN 

对 企业 网 络 来 说 ,由 路 由 器 端 接 VPN 并 不 常见 。 主 要 原因 是 路 由 器 上 有 复杂 的 日 志 
程序 ,并 依靠 外 部 日 志 资 源 来 记录 信息 ,再 加 上 加 密 和 解密 VPN 信息 ,因而 会 带 来 较 大 的 
负担 ,可 能 造成 路 由 器 负荷 很 重 。Cisco 已 为 2600 系列 路 由 器 引进 VPN 模块 。 带 有 VPN 
模块 的 2600 路 由 器 一 般 用 来 端 接 T1(1. 544Mb/s 标准 ), 它 要 求 至 少 128MB 的 随机 存 取 
内 存 。 

路 由 器 端 接 VPN 模式 要 求 路 由 器 处 理 好 VPN 的 端 接 ,包括 加 密 和 解密 连接 。 

如 图 6. 6.2 所 示 ,VPN 在 边缘 路 由 器 上 端 接 。 先 建立 VPN 连接 到 路 由 器 ,再 由 路 由 器 
将 请 求 转送 到 NAS。 最 后 ,NAS 验证 允许 访问 网 络 的 用 户 ,并 且 授 权 用 户 访问 网 络 。 

对 那些 不 想 使 用 VPN 客户 机 程序 的 小 型 网 络 或 家 庭 用 户 而 言 ,路 由 器 端 接 VPN 是 很 
方便 的 ,但 对 企业 网 络 而 言 ,路 由 器 端 接 VPN 通常 并 不 方便 。 

2. 防火 墙 端 接 VPN 

目前 ,防火 墙 端 接 VPN 模式 是 很 流行 的 。Cisco PIX、Check Point 和 NetScreen 都 有 
产品 允许 防火 墙 成 为 VPN 端 接 设备 。 

防火 墙 和 VPN 的 组 合 是 很 有 意义 的 。 防 火 墙 已 经 记录 了 大 多 数 的 网 络 连接 ,一 些 额 
外 的 VPN 连接 记录 不 会 增加 特别 大 的 负担 , 且 防 火 墙 也 是 网 络 入 口 点 ,所 以 由 防火 墙 端 接 
VPN 意味 着 用 户 能 够 访问 网 络 而 不 必 开 放 防 火 墙 规则 中 额外 的 漏洞 。 防 火 墙 端 接 可 为 网 
络 管理 员 提 供 了 更 多 的 控制 权 。 

防火 墙 端 接 VPN 和 路 由 器 端 接 VPN 的 操作 大 致 相同 。 用 户 连 接 防 火 墙 ,防火 墙 向 
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( 公共 网 络 一 路 由 器 /VPN 端 接 






VPN 客 户 端 


图 6.6.2 路 由 器 端 接 VPN 


NAS 服务 器 转发 验证 。NAS 服务 器 验证 用 户 ,防火 墙 授权 用 户 访问 网 络 。 如 图 6. 6. 3 所 
示 , 从 用 户 到 公司 网 络 的 VPN 被 端 接 在 防火 墙 上 ,防火 墙 收 到 验证 请 求 并 将 它 转送 到 处 理 
实际 验证 过 程 的 NAS 服务 器 。 


Ns 
一 ”公共 同 给 一 





图 6.6.3 防火 墙 端 接 VPN 


防火 墙 端 接 VPN 和 路 由 器 端 接 VPN 有 一 个 共同 的 缺点 ,就 是 VPN 的 加 密 /解密 处 理 
占用 大 量 的 系统 资源 。 已 经 有 负荷 的 防火 墙 ,特别 是 带 有 活动 DMZ 的 防火 墙 ,可 能 会 使 很 
多 同时 运行 的 VPN 隧道 崩溃 。 

防火 墙 端 接 VPN 方案 适用 于 企业 组 织 , 用 于 密切 监控 信息 流量 以 确保 带 有 VPN 隧道 
的 防火 墙 没 有 超 负荷 。 

3. 专用 设备 端 接 VPN 

一 些 公司 更 青睐 于 使 用 专用 VPN 设备 端 接 VPN。Cisco、AppGate、Lucent 和 Check 
Point 等 公司 都 开发 出 专用 的 VPN 设备 或 在 专用 VPN 上 能 运行 的 软件 。 

专用 设备 端 接 VPN 的 主要 优点 是 可 以 减轻 路 由 器 和 防火 墙 管 理 VPN 的 负担 。 可 由 
专用 设备 来 处 理 加 密 和 解密 ,即使 由 于 过 多 的 连接 而 导 臻 过载, 也 不 会 影响 到 网 络 的 其 他 
部 分 。 

专用 设备 端 接 VPN 在 VPN 处 理 过 程 中 可 创建 男 一 层 安 全 防护 。 它 们 端 接 在 网 络 内 
部 ,管理 员 会 有 更 大 的 控制 权 。 这 样 就 没有 在 路 由 器 或 防火 墙 上 端 接 隧道 那样 的 风险 。 在 
网 络 内 部 端 接 使 网 络 管理 员 可 以 限定 网 络 某 些 部 分 的 流量 ,这 样 即使 VPN 被 攻破 , 它 也 可 
以 阻止 攻击 者 的 破坏 。 

专用 设备 端 接 VPN 的 过 程 如 图 6. 6.4 所 示 ,VPN 通过 专用 设备 进行 端 接 。 用 户 可 向 


专用 设备 请 求 验证 ,利用 设备 在 网 络 中 的 位 置 , 可 限制 验证 后 的 用 户 到 确定 区 域 。VPN 设 
备 也 能 处 理 验 证 过 程 , 或 向 NAS 转发 请 求 。 如 果 用 户 被 验证 成 功 , 其 就 有 访问 网 络 的 权 
限 了 。 





VPN 客 户 中 


图 6.6.4 专用 设备 端 接 VPN 


尽管 专用 设备 端 接 VPN 有 很 多 优点 ,但 由 于 专用 设备 是 额外 的 网 络 设备 ,因此 需要 对 
它 进行 管理 和 监控 ,以 便 软 件 升 级 和 防止 潜在 的 安全 漏洞 。 专 用 VPN 设备 也 存在 安全 漏 
洞 , 如 果 这 些 漏洞 被 利用 ,攻击 者 便 可 以 访问 整个 网 络 ,所 以 也 要 关注 这 些 漏洞 的 安全 问题 。 

专用 VPN 设备 也 会 在 公司 的 防火 墙 中 产生 额外 的 漏洞 ,因此 必须 打开 一 些 端口 来 允 
许 PPTP 或 L2TP 隧道 通过 防火 墙 进入 到 网 络 。 尽 管 这 并 没有 引起 较 大 的 安全 问题 ,但 仍 
应 该 注意 通过 防火 墙 的 网 络 流量 。 





习题 和 思考 题 


-、 简 答题 

. 何 为 计算 机 病毒 ? 何 为 计算 机 网 络 病毒 ? 

. 计算 机 病毒 有 哪些 特征 ? 网 络 病毒 有 哪些 特点 ? 

. 常用 的 防 病毒 软件 有 哪些 ? 

.病毒 的 发 展 趋势 如 何 ? 

. 简 述 网 络 病毒 的 防范 措施 。 

. 简 述 木马 的 预防 措施 。 

. 何 为 防火 墙 ? 防火 墙 的 主要 功能 和 不 足 之 处 有 哪些 ? 

. 何 为 黑客 ? 简 述 黑客 攻击 的 主要 类 型 攻击 的 手段 和 工具 。 

. 简 述 黑客 攻击 的 过 程 。 如 何 应 对 黑客 攻击 ? 

. 简 述 缓冲 区 溢出 攻击 的 防范 措施 。 

. 何 为 人 侵 检测 系统 ? 简 述 入 侵 检测 系统 的 功能 。 

12. 何 为 网 络 扫 描 ? 何 为 网 络 监听 ? 它们 各 有 什么 作用 ? 

13. 端口 扫描 技术 有 哪些 ? 

14. 说 出 几 种 你 熟悉 或 使 用 过 的 IDS 软件 、 网 络 扫 描 软 件 和 网 络 监听 软件 。 
二 、 填空 题 

1. 网 络 病毒 具有 传播 方式 复杂 、( xt ) 和 破坏 危害 大 等 特点 。 
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2. 防范 病毒 主要 从 ( ) 和 ( ) 两 方面 人 手 。 

3. 计算 机 病毒 是 一 种 能 破坏 计算 机 系统 的 (  )。 

4. 防火 墙 通常 设置 在 (  )。 

5. 常用 的 防火 墙 技术 有 ( alk ) 和 状态 检测 技术 。 

6. 黑客 进行 的 网 络 攻击 通常 可 分 为 ( ) 型 ) 型 ) 型 和 ( ) 型 攻击 。 

7. ) 攻 击 是 指 通过 向 程序 的 缓冲 区 写 入 超出 其 长 度 的 内 容 , 从 而 破坏 程序 的 堆 
栈 , 使 程序 转 而 执行 其 他 的 指令 ,以 达到 攻击 的 目的 。 

8 ) 攻 击 是 攻击 者 通过 各 种 手段 来 消耗 网 络 带宽 或 服务 器 系统 资源 ,最 终 导致 被 
攻击 服务 器 资源 耗 尽 或 系统 崩 演 而 无 法 提供 正常 的 网 络 服务 。 

9. IDS 是 一 种 ( ) 的 安全 防护 措施 。 

10. IDS 有 基于 ( ”) 的 IDS、 基 于 ( ”) 的 IDS 和 ( ) 的 IDS 三 种 类 型 。 

11. VPN 采用 了 ( J yt ) 和 完整 性 等 安全 措施 。 

12. VPN 采用 的 安全 技术 主要 有 ( ) 技 术 、( ) 技 术 、( ) 技 术 、( ) 技 术 和 
访问 控制 等 。 

13. VPN 的 主要 端 接点 有 ( 3 ) 和 专用 VPN 设备 。 


三 、 选 择 题 
1. 将 防火 软件 安装 在 路 由 器 上 ,就 构成 了 简单 的 ( ) 防 火 墙 。 
A. 包 过 滤 B. 子 网 过 滤 C. 代理 服务 器 D. 主机 过 滤 
2. 不 管 是 什么 种 类 的 防火 墙 ,都 不 能 ( )。 
A. 强化 网 络 安全 策略 B. 对 网 络 存 取 和 访问 进行 监控 审计 
C. 保护 内 部 网 的 安全 D. 防范 绕 过 它 的 连接 


3. 网 络 病毒 不 具有 ( ) 特 点 。 
A. 传播 速度 快 B. 清除 难度 大 C. 传播 方式 单一 D. 破坏 危害 大 
本 攻 ) 是 一 种 基于 远程 控制 的 黑客 工具 , 它 通常 寄生 于 用 户 的 计算 机 系统 中 ,盗窃 
用 户 信息 ,并 通过 网 络 发 送 给 黑客 。 
A. 文件 病毒 B. 木马 C. 引导 型 病毒 D. 蠕虫 
Bk ) 是 一 种 可 以 自我 复制 的 完全 独立 的 程序 , 它 的 传播 不 需要 借助 被 感染 主机 的 
其 他 程序 。 


A. 文件 病毒 B. 木马 C. 引导 型 病毒 D. 蠕虫 
6. 端口 扫描 也 是 一 把 双 刃 剑 , 黑 客 进行 的 端口 扫描 是 一 种 ( ) 型 网 络 攻 击 。 
A. DoS B. 利用 C. 信息 收集 D. 缓冲 区 溢出 


7.( ”) 攻 击 是 一 种 特殊 形式 的 拒绝 服务 攻击 , 它 采 用 一 种 分 布 、 协 作 的 大 规模 攻击 
方式 。 


A. DoS B. DDoS C. 缓冲 区 溢出 D. IP 电子 欺骗 
8. 拒绝 服务 攻击 的 后 果 是 ( Ws 
A. 被 攻击 服务 器 资源 耗 尽 B. 无 法 提供 正常 的 网 络 服务 





C. 被 攻击 者 系统 骨 溃 D. A、B、C 都 可 能 
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本 章 要 点 

。 TCP/IP 协议 及 其 安全 ; 

。 Internet 欺骗 ; 

。 网 站 安全 ; 

。 电子 邮件 安全 ; 

。 电子 商务 安全 。 

随 着 计算 机 网 络 技 术 的 迅猛 发 展 和 普及 应 用 ,基于 互联 网 (Internet) 的 安全 性 问题 愈 发 
显得 突出 ,但 绝 大 多 数 网 络 用 户 对 于 自己 在 互联 网 上 的 安全 情况 并 不 太 注 意 ,其 至 毫 不 知 
情 。 因 此 ,一 些 用 户 会 遇 到 密码 被 瓷 ,存储 数据 莫名 地 丢失 或 被 毁 、 网 络 病毒 的 入 侵 、 电 子 邮 
件 攻击 、Web 站 点 攻击 、Internet 欺骗 .网 络 交易 的 欺骗 等 安全 问题 。 如 何 解决 好 互联 网 的 
安全 问题 已 成 为 广大 互联 网 用 户 非常 关注 的 内 容 。 本 章 将 介绍 用 户 在 互联 网 上 经 常 遇 到 的 
一 些 安全 问题 及 其 预防 措施 。 


7.1 TCP/IP 协议 及 其 安全 


TCP/IP 协议 是 美国 DARPA 为 ARPANET 制定 的 一 种 异 构 网 络 互联 的 通信 协议 , 通 
过 它 可 实现 各 种 异 构 网 络 或 异种 机 之 间 的 互联 通信 。TCP/IP 协议 虽然 不 是 国际 标准 ,但 
已 被 广大 用 户 和 厂商 所 接受 ,成 为 当今 计算 机 网 络 最 成 熟 \ 应 用 最 广 的 互联 协议 。 国 际 互联 
网 Internet 上 采用 的 就 是 TCP/IP 协议 。TCP/IP 协议 也 可 用 于 其 他 网 络 , 如 局 域 网 ,以 支 
持 异 种 机 的 联网 或 异 构 型 网 络 的 互联 。TCP/IP 协议 同样 适用 在 一 个 局 域 网 中 实现 异种 机 
的 互联 通信 。 网 络 上 各 种 各 样 的 计算 机 上 只 要 安装 了 TCP/IP 协议 ,它们 之 间 就 能 相互 通 
信 。 运 行 TCP/IP 协议 的 网 络 是 一 种 采用 包 ( 分 组 ) 交 换 的 网 络 。 


7.1.1 TCP/IP 协议 的 层次 结构 和 层次 安全 


TCP/IP 协议 是 由 100 多 个 协议 组 成 的 协议 集 ,TCP 协议 和 IP 协议 是 其 中 两 个 最 重要 
的 协议 。TCP 和 IP 两 个 协议 分 别 属于 传输 层 和 网 络 层 . 在 Internet 中 起 着 不 同 的 作用 。 

1. TCP/IP 协议 的 层次 结构 

TCP/IP 协议 的 层次 结构 分 为 四 层 , 分 别 是 网 络 接口 层 、 网 络 层 (网 际 层 、IP 层 )、 传 输 层 
(TCP 层 ) 和 应 用 层 , 如 图 7.1.1 所 示 。 

网 络 接口 层 负责 接收 IP 数据 报 ,并 把 这 些 数据 报 发 送 到 指定 的 网 络 中 。 它 与 OSI 模 
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图 7.1.1 TCP/IP 协 议 层 次 结构 


型 中 的 数据 链 路 层 和 物理 层 相 对 应 。 

网 络 层 ( 也 称 网 际 层 ) 主 要 解决 主机 到 主机 的 通信 问题 .该 层 的 主要 协议 有 IP 协议 和 
ICMP 协议 。IP 协议 是 Internet 中 的 基础 协议 , 它 提供 了 不 可 靠 的 、 尽 最 大 努力 的 、 无 连接 
的 数据 报 传递 服务 。ICMP 协议 是 一 种 面向 连接 的 协议 .用 于 传输 错误 报告 控制 信息 。 由 
于 IP 协议 提供 了 无 连接 的 数据 报 传送 服务 ,在 传送 过 程 中 若 发 生 差错 或 意外 情况 则 无 法 处 理 
数据 报 ,这 就 需要 ICMP 协议 来 向 源 结 点 报告 差错 情况 ,以 便 源 结 点 对 此 做 出 相应 的 处 理 。 

传输 层 的 基本 任务 是 提供 应 用 程序 之 间 的 通信 ,这 种 通信 通常 称 为 端 到 端 通信 。 传 输 
层 可 提供 端 到 端 之 间 的 可 靠 传送 ,确保 数据 到 达 目 的 地 时 无 差错 、 不 乱 序 。 传 输 层 的 主要 协 
议 有 TCP 协议 和 UDP(User Data Protocol) 协 议 。TCP 协议 是 在 IP 协议 提供 的 服务 基础 
上 ,支持 面向 连接 的 、 可 靠 的 传输 服务 。UDP 协议 是 直接 利用 IP 协议 进行 UDP 数据 报 的 
传输 ,因此 UDP 协议 提供 的 是 无 连接 .不 保证 数据 完整 地 到 达 目 的 地 的 传输 服务 。 由 于 
UDP 协议 不 使 用 很 烦琐 的 流 控 制 或 错误 恢复 机 制 , 只 充当 数据 报 的 发 送 者 和 接收 者 ,因此 ， 
UDP 协议 比 TCP 协议 简单 得 多 。 

应 用 层 为 协议 的 最 高 层 ,在 该 层 应 用 程序 与 协议 相互 配合 ,发 送 或 接收 数据 。TCP/IP 
协议 集 在 应 用 层 上 有 远程 登录 协议 (Telnet)、 文 件 传输 协议 (FTP)、 电 子 邮 件 协 议 
(SMTP) 、 域 名 系统 (DNS) 等 ,它们 构成 了 TCP/IP 协议 的 基本 应 用 程序 。 

2. TCP/IP 协议 的 层次 安全 

TCP/IP 协议 的 层次 不 同 提供 的 安全 性 也 不 同 。 例 如 ,在 网 络 层 提供 虚拟 专用 网 络 
(VPN) ,在 传输 层 提供 SSL 服务 等 。 

1) 网 络 接口 层 安全 

网 络 接口 层 与 OSI 模型 中 的 数据 链 路 层 和 物理 层 相 对 应 。 物 理 层 安全 主要 是 保护 物 
理 线 路 的 安全 ,如 保护 物理 线路 不 被 损坏 .防止 线路 的 搭 线 窃 听 . 减 少 或 避免 对 物理 线路 的 
干扰 等 。 数 据 链 路 层 安 全 主要 是 保证 链 路 上 传输 的 信息 不 出 现 差 错 ,保护 数据 传输 通路 畅 
通 ,保护 链 路 数据 帧 不 被 截 收 等 。 

网 络 接口 层 安全 一 般 可 以 达到 点 对 点 间 较 强 的 身份 验证 ,保密 性 和 连续 的 信道 认证 ,在 
大 多 数 情况 下 也 可 以 保证 数据 流 的 安全 。 有 些 安全 服务 可 以 提供 数据 的 完整 性 或 至 少 具 有 
防止 欺骗 的 能 力 。 


2) 网 络 层 的 安全 

网 络 层 安全 主要 考虑 控制 不 同 的 访问 者 对 网 络 和 设备 的 访问 ,划分 并 隔离 不 同 的 安全 
域 以 及 防止 内 部 访问 者 对 无 权 访问 区 域 的 访问 和 误 操 作 。 

IP 分 组 是 一 种 面向 协议 的 无 连接 的 数据 包 ,IP 包 是 可 共享 的 ,其 寻 址 于 特定 位 置 的 信 
息 对 大 量 网 络 组 件 来 说 是 可 读 的 ,用 户 间 的 数据 在 子 网 中 要 经 过 很 多 结 点 进行 传输 。 从 安 
全 角度 讲 , 网 络 组 件 对 下 一 个 邻近 结 点 并 不 了 解 ,因为 每 个 数据 包 都 可 能 来 自 网 络 中 的 任何 
地 方 。 因 此 如 认证 ,访问 控制 等 安全 服务 必须 在 每 个 包 的 基础 上 执行 。 国 际 上 有 关 组 织 已 
经 提出 了 一 些 对 网 络 层 的 安全 协议 进行 标准 化 的 方案 。 网 络 层 安全 协议 (NLSP) 是 由 国际 
标准 化 组 织 为 无 连接 网 络 协议 (CLNP) 制 定 的 安全 协议 标准 。 事 实 上 ,网 络 层 安全 协议 使 
用 IP 封装 技术 将 纯 文本 的 包 加 密 、 封 装 在 外 层 IP 报头 里 , 当 这 些 包 到 达 另 一 端 时 ,外 层 的 
IP 报头 被 拆 开 , 报 文 被 解密 ,然后 交付 给 收 端 用 户 。 网 络 层 安全 协议 可 用 来 在 Internet 上 
建立 安全 的 IP 通道 和 虚拟 专用 网 。 其 本 质 是 , 纯 文 本 的 包 被 加 密 ,并 被 封装 在 外 层 的 IP 报 
头 里 ,用 来 对 加 密 的 包 进 行 Internet 上 的 路 由 选择 。 到 达 另 一 端 时 ,外 层 的 IP 报头 被 拆 开 ， 
报 文 被 解密 ,然后 送 到 收报 地 点 。 

3) 传输 层 的 安全 

由 于 TCP/IP 协议 本 身 很 简单 ,没有 加 密 、 身 份 验 证 等 安全 特性 ,因此 必须 在 传输 层 建 
立 安全 通信 机 制 为 应 用 层 提供 安全 保护 。 传 输 层 网 关 在 两 个 结 点 之 间 代 为 传递 TCP 连接 
并 进行 控制 。 常 见 的 传输 层 安全 技术 有 SSL、SOCKS 和 PCT 等 。 

在 Internet 中 提供 安全 服务 的 一 个 想法 便 是 强化 它 的 IPC 界面 ,如 BSD Sockets。 具 
体 做 法 包括 双 端 实体 的 认证 、 数 据 加 密 密 钥 的 交换 等 。Netscape 通信 公司 遵循 了 这 个 思 
路 ,制定 了 建立 在 可 靠 的 传输 服务 (如 TCP/IP 所 提供 ) 基 础 上 的 SSL 协议 。 

4) 应 用 层 的 安全 

网 络 层 的 安全 协议 可 为 网 络 连接 建立 安全 的 通信 信道 ,传输 层 的 安全 协议 可 为 进程 之 
间 的 数据 通道 增加 安全 属性 。 本 质 上 ,这 意味 着 真正 的 数据 通道 还 是 建立 在 主机 (或 进程 
之 间 , 但 却 不 可 能 区 分 在 同一 通道 上 传输 的 一 个 具体 文件 的 安全 性 要 求 。 如 果 一 个 主机 与 
另 一 个 主机 之 间 建 立 起 一 条 安全 的 IP 通道 ,那么 所 有 在 这 条 通道 上 传输 的 IP 包 就 都 要 自 
动 地 被 加 密 。 同 样 ,如果 一 个 进程 和 另 一 个 进程 之 间 通 过 传输 层 安 全 协议 建立 起 了 一 条 安 
全 的 数据 通道 ,那么 两 个 进程 间 传 输 的 所 有 消息 就 都 要 自动 地 被 加 密 。 

如 果 要 区 分 一 个 具体 文件 的 不 同 的 安全 性 要 求 , 那 就 必须 借助 于 应 用 层 的 安全 性 。 提 
供应 用 层 的 安全 服务 实际 上 是 最 灵活 的 处 理 单个 文件 安全 性 的 手段 。 

应 用 层 提供 的 安全 服务 ,通常 都 是 对 每 个 应 用 (包括 应 用 协议 ) 分 别 进行 修改 和 扩充 ,加 
和 人 新 的 安全 功能 。 现 已 实现 的 TCP/IP 应 用 层 的 安全 措施 有 基于 信用 卡 安全 交易 服务 的 安 
全 电子 交易 协议 (SET) 、 基 于 电子 商务 安全 应 用 的 安全 电子 付费 协议 (SEPP)、 基 于 SMTP 
协议 提供 电子 邮件 安全 服务 的 私 用 强化 邮件 (PEM) 和 基于 HTTP 协议 提供 Web 安全 使 用 
的 安全 性 超 文 本 传输 协议 (S-HTTP) 等 。 


7.1.2 TCP/IP 协议 的 安全 性 分 析 


TCP/IP 协议 在 设计 初期 并 没有 考虑 到 安全 性 问题 。 因 此 TCP/IP 协议 的 通信 系统 在 
应 用 过 程 中 逐渐 暴露 出 各 种 安全 问题 ,导致 各 种 利用 安全 漏洞 的 恶意 攻击 发 生 。 
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2) 网 络 层 的 安全 

网 络 层 安全 主要 考虑 控制 不 同 的 访问 者 对 网 络 和 设备 的 访问 ,划分 并 隔离 不 同 的 安全 
域 以 及 防止 内 部 访问 者 对 无 权 访问 区 域 的 访问 和 误 操 作 。 

IP 分 组 是 一 种 面向 协议 的 无 连接 的 数据 包 ,IP 包 是 可 共享 的 ,其 寻 址 于 特定 位 置 的 信 
息 对 大 量 网 络 组 件 来 说 是 可 读 的 ,用 户 间 的 数据 在 子 网 中 要 经 过 很 多 结 点 进行 传输 。 从 安 
全 角度 讲 , 网 络 组 件 对 下 一 个 邻近 结 点 并 不 了 解 ,因为 每 个 数据 包 都 可 能 来 自 网 络 中 的 任何 
地 方 。 因 此 如 认证 ,访问 控制 等 安全 服务 必须 在 每 个 包 的 基础 上 执行 。 国 际 上 有 关 组 织 已 
经 提出 了 一 些 对 网 络 层 的 安全 协议 进行 标准 化 的 方案 。 网 络 层 安全 协议 (NLSP) 是 由 国际 
标准 化 组 织 为 无 连接 网 络 协议 (CLNP) 制 定 的 安全 协议 标准 。 事 实 上 ,网 络 层 安全 协议 使 
用 IP 封装 技术 将 纯 文本 的 包 加 密 、 封 装 在 外 层 IP 报头 里 , 当 这 些 包 到 达 另 一 端 时 ,外 层 的 
IP 报头 被 拆 开 , 报 文 被 解密 ,然后 交付 给 收 端 用 户 。 网 络 层 安全 协议 可 用 来 在 Internet 上 
建立 安全 的 IP 通道 和 虚拟 专用 网 。 其 本 质 是 , 纯 文 本 的 包 被 加 密 ,并 被 封装 在 外 层 的 IP 报 
头 里 ,用 来 对 加 密 的 包 进 行 Internet 上 的 路 由 选择 。 到 达 另 一 端 时 ,外 层 的 IP 报头 被 拆 开 ， 
报 文 被 解密 ,然后 送 到 收报 地 点 。 

3) 传输 层 的 安全 

由 于 TCP/IP 协议 本 身 很 简单 ,没有 加 密 、 身 份 验 证 等 安全 特性 ,因此 必须 在 传输 层 建 
立 安全 通信 机 制 为 应 用 层 提供 安全 保护 。 传 输 层 网 关 在 两 个 结 点 之 间 代 为 传递 TCP 连接 
并 进行 控制 。 常 见 的 传输 层 安全 技术 有 SSL、SOCKS 和 PCT 等 。 

在 Internet 中 提供 安全 服务 的 一 个 想法 便 是 强化 它 的 IPC 界面 ,如 BSD Sockets。 具 
体 做 法 包括 双 端 实体 的 认证 、 数 据 加 密 密 钥 的 交换 等 。Netscape 通信 公司 遵循 了 这 个 思 
路 ,制定 了 建立 在 可 靠 的 传输 服务 (如 TCP/IP 所 提供 ) 基 础 上 的 SSL 协议 。 

4) 应 用 层 的 安全 

网 络 层 的 安全 协议 可 为 网 络 连接 建立 安全 的 通信 信道 ,传输 层 的 安全 协议 可 为 进程 之 
间 的 数据 通道 增加 安全 属性 。 本 质 上 ,这 意味 着 真正 的 数据 通道 还 是 建立 在 主机 (或 进程 
之 间 , 但 却 不 可 能 区 分 在 同一 通道 上 传输 的 一 个 具体 文件 的 安全 性 要 求 。 如 果 一 个 主机 与 
另 一 个 主机 之 间 建 立 起 一 条 安全 的 IP 通道 ,那么 所 有 在 这 条 通道 上 传输 的 IP 包 就 都 要 自 
动 地 被 加 密 。 同 样 ,如果 一 个 进程 和 另 一 个 进程 之 间 通 过 传输 层 安 全 协议 建立 起 了 一 条 安 
全 的 数据 通道 ,那么 两 个 进程 间 传 输 的 所 有 消息 就 都 要 自动 地 被 加 密 。 

如 果 要 区 分 一 个 具体 文件 的 不 同 的 安全 性 要 求 , 那 就 必须 借助 于 应 用 层 的 安全 性 。 提 
供应 用 层 的 安全 服务 实际 上 是 最 灵活 的 处 理 单个 文件 安全 性 的 手段 。 

应 用 层 提供 的 安全 服务 ,通常 都 是 对 每 个 应 用 (包括 应 用 协议 ) 分 别 进行 修改 和 扩充 ,加 
和 人 新 的 安全 功能 。 现 已 实现 的 TCP/IP 应 用 层 的 安全 措施 有 基于 信用 卡 安全 交易 服务 的 安 
全 电子 交易 协议 (SET) 、 基 于 电子 商务 安全 应 用 的 安全 电子 付费 协议 (SEPP)、 基 于 SMTP 
协议 提供 电子 邮件 安全 服务 的 私 用 强化 邮件 (PEM) 和 基于 HTTP 协议 提供 Web 安全 使 用 
的 安全 性 超 文 本 传输 协议 (S-HTTP) 等 。 


7.1.2 TCP/IP 协议 的 安全 性 分 析 


TCP/IP 协议 在 设计 初期 并 没有 考虑 到 安全 性 问题 。 因 此 TCP/IP 协议 的 通信 系统 在 
应 用 过 程 中 逐渐 暴露 出 各 种 安全 问题 ,导致 各 种 利用 安全 漏洞 的 恶意 攻击 发 生 。 
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1. IP 协议 安全 分 析 

IP 地 址 是 主机 网 络 接口 的 唯一 标识 ,攻击 者 为 了 隐藏 攻击 者 来 源 或 绕 过 安全 防范 措 
施 ,常常 采用 IP 地 址 欺骗 。 对 于 攻击 者 来 说 ,IP 地 址 欺骗 的 方法 可 以 有 两 种 : 一 种 是 直接 
更 改 本 机 的 IP 地 址 为 其 他 主机 的 了 P 了 地 址 ,但 这 种 方法 受到 一 定 的 限制 。 另 一 种 是 有 意 地 
用 假 的 全 地 址 构造 全 数据 包 , 然 后 发 出 去 。 常 见 的 基于 卫 协 议 的 攻击 有 全 欺骗 、Teardrop 
攻击 和 数据 包 欺 骗 。 

攻击 者 向 一 台 主 机 发 送 带 有 某 IP 地 址 的 消息 (并 非 自 己 的 IP 地址) ,表明 该 消息 来 自 
于 一 台 受 信任 的 主机 ,以 便 获得 对 该 主机 的 非 授权 访问 。 若 要 进行 IP 欺骗 攻击 ,攻击 者 首 
先 要 找到 一 台 受 信任 的 主机 IP 地 址 ,然后 修改 数据 包 的 信息 头 ,使 得 该 数据 包 好 像 来 自 于 
那 台 主机 。 

攻击 者 通过 更 改 数据 包 偏 移 量 和 使 用 Teardrop 程序 发 送 不 可 重新 正确 组 合 起 来 的 IP 
信息 碎片 ,最终 导 致 受害 系统 进行 重新 启动 或 异常 终止 。 遭 受 了 这 种 Teardrop( 泪 滴 ) 攻 击 
之 后 ,最 好 的 解决 办 法 就 是 重启 计算 机 。 

因为 大 多 数 网 络 应 用 程序 利用 纯 文 本 格式 发 布 网 络 数据 包 , 所 以 数据 包 嗅 探 器 可 以 向 
它 的 使 用 者 提供 有 意义 的 通常 也 是 敏感 的 信息 ,如 用 户 的 账户 名 称 和 密码 ,这 就 是 数据 包 欺 
骗 。 数 据 包 嗅 探 器 也 可 以 向 攻击 者 提供 只 有 询问 数据 库 才 能 获得 的 信息 ,包括 用 于 访问 该 
数据 库 的 用 户 账户 名 称 和 密码 。 

2. TCP 协议 安全 分 析 

常见 的 TCP 协议 攻击 有 SYN 攻击 和 Land 攻击 。 

TCP 序列 号 (SYN) 攻 击 也 称 作 SYN 淹没 , 它 是 最 流行 的 拒绝 服务 攻击 的 方式 之 一 。 
它 是 利用 了 TCP 协议 缺陷 ,发 送 大 量 伪造 的 TCP 连接 请 求 , 从 而 使 得 被 攻击 方 资源 耗 尽 的 
攻击 方式 ,如 使 CPU 满 负荷 或 内 存 不 足 。 由 于 TCP 协议 连接 三 次 握手 的 需要 ,在 每 个 
TCP 建立 连接 时 ,都 要 发 送 一 个 带 SYN 标记 的 数据 包 , 如 果 在 服务 器 端 发 送 应 答 包 后 , 客 
户 端 不 发 出 确认 ,服务 器 就 会 等 待 查 到 数据 超时 ,如 果 大 量 带 有 SYN 标记 的 数据 包 发 送 到 
服务 器 端 后 都 没有 应 答 ,会 使 服务 器 端的 TCP 资源 迅速 枯竭 。 导 致 正常 的 连接 不 能 进入 ， 
甚至 会 导致 服务 器 系统 崩溃 。 这 就 是 TCP 序列 号 (SYN) 攻 击 的 过 程 。 

Land 攻击 的 原理 比较 简单 , 它 利 用 TCP 连接 三 次 握手 中 的 缺陷 ,打造 了 一 个 特别 的 
SYN 包 , 向 目标 主机 发 送 源 地 址 与 目标 地 址 相同 的 数据 包 , 造 成 目标 主机 在 解析 Land 包 时 
占用 过 多 的 资源 ,从 而 使 网 络 功能 完全 瘫痪 。 研 究 发 现 很 多 基于 BSD 的 操作 系统 都 有 这 个 
漏洞 。 收 到 此 类 攻击 的 UNIX 系统 将 会 崩溃 ,而 受到 攻击 的 Windows 系统 将 会 变 得 非常 
缓慢 。 

要 防止 TCP 协议 的 攻击 ,就 要 保护 好 TCP 的 序列 号 ,使 得 攻击 者 难以 猜测 攻击 目标 当 
前 所 使 用 的 包 的 序列 号 。 其 主要 方法 如 下 。 

(1) 提高 序列 号 的 更 新 速率 ,使 主机 在 两 个 相差 很 短 的 时 间 里 所 使 用 的 初始 序列 号 差 
异 很 大 ,从 而 增加 攻击 者 对 序列 号 搜索 的 难度 。 

(2) 加 强 初始 序列 号 产生 的 随机 性 :减少 攻击 者 猜测 到 序列 号 的 可 能 性 。 

(3) 加 密 序列 号 ,使 得 攻击 者 无 法 获取 序列 号 的 值 。 

3. UDP 协议 安全 分 析 

由 于 UDP 协议 上 既 没有 使 用 序列 号 又 没有 使 用 认证 包 分 组 的 机 制 , 因 此 基于 协议 之 





上 的 所 有 应 用 软件 在 任何 情况 下 都 是 以 主机 网 络 地 址 作为 认证 手续 。 那 么 攻击 者 通过 冒充 
内 部 用 户 的 网 络 地 址 ,然后 再 利用 适当 的 应 用 软件 就 会 很 容易 地 伪造 UDP 包 分 组 ,所 以 在 
外 露 的 系统 中 应 避免 使 用 UDP 协议 。 典 型 的 UDP 攻击 是 UDP Flood 攻击 。UDP Flood 
攻击 通过 伪造 与 某 一 台 主 机 的 Chargen 服务 之 间 的 UDP 连接 ,回复 地 址 指向 开 着 Echo 服 
务 的 一 台 主 机 ,这 样 就 能 在 两 台 主机 之 间 产 生 无 用 的 数据 流 , 如 果 数 据 流 足够 多 就 会 导致 拒 
绝 服务 攻击 。 

4. ICMP 协议 安全 分 析 

ICMP 协议 依附 于 IP 协议 。ICMP 包 封 装 在 IP 包 中 ,ICMP 协议 具有 自己 的 数据 格 
式 , 共 有 15 种 不 同类 型 的 ICMP 包 。 攻 击 者 常 利用 ICMP 的 不 同类 型 的 包 进行 攻击 ,主要 
攻击 有 ICMP 拒绝 服务 攻击 和 PING 淹没 攻击 。 

ICMP 协议 被 IP 层 用 于 向 一 台 主 机 发 送 单 向 的 告知 性 消息 。 在 ICMP 协议 中 没有 验 
证 机 制 ,这 就 导致 了 使 用 ICMP 可 以 造成 拒绝 服务 的 攻击 。ICMP 拒绝 服务 攻击 主要 使 用 
ICMP* 时 间 超 出 ”或 “目标 地 址 无 法 连接 ”的 消息 。 这 两 种 ICMP 消息 都 会 导致 一 台 主 机 迅 
速 放弃 连接 。 攻 击 者 只 需 伪 造 这 些 ICMP 消息 中 的 一 条 ,并 发 送 给 通信 中 的 两 台 主 机 或 其 
中 的 一 台 ,通信 连接 就 会 被 切断 。 当 一 台 主 机 错误 地 认为 消息 目标 地 址 不 在 本 地 网 络 中 的 
时 候 , 网 关 通 常会 使 用 ICMP"“ 转 向 ?消息 , 它 就 可 以 导致 另外 一 台 主 机 经 过 攻击 者 的 主机 向 
特定 连接 发 送 数据 包 。 

PING 是 ICMP 最 普遍 的 应 用 , 它 向 某 台 主机 发 送出 一 条 ICMP* 响 应 请 求 ”, 并 等 待 该 
主机 回复 一 条 ICMP”* 响 应 回复 "的 消息 。 攻 击 者 只 需 向 受害 客户 机 中 发 送 若 干 多 条 ICMP 
“响应 请 求 ” 的 消息 ,就 会 导致 受害 客户 机 的 系统 瘫痪 或 速度 减 慢 , 这 就 是 PING 混 没 (ICMP 
淹没 ) 攻 击 。 这 是 一 种 简单 的 攻击 方式 ,许多 PING 应 用 程序 都 支持 这 种 操作 ,而且 攻击 者 
不 需要 掌握 更 多 知识 。 

5. ARP 协议 安全 分 析 

通常 ,以 太 网 利用 ARP 协议 找 出 分 配给 Internet 地 址 的 以 太 网 硬件 地 址 ,再 产生 适当 
的 以 太 包 分 组 。 要 做 到 这 一 点 ,需要 将 ARP 分 组 以 一 种 广播 的 形式 发 送 到 所 有 的 网 络 用 
户 。 如 果 伪 造 的 ARP 分 组 也 被 产生 出 来 寻找 根本 不 存在 的 IP 地 址 ,这 就 会 迅速 导致 网 络 
的 广播 风暴 。 广 播 风 暴 将 迅速 充 塞 许 多 有 用 的 传输 带宽 并 使 网 络 瘫痪 。 利 用 ARP 协议 缺 
陷 实施 的 攻击 称 作 MITM 中 间 人 攻击 。ARP 协议 的 缺陷 在 于 ARP 协议 以 及 RARP 协议 
都 没有 对 数据 的 发 送 方 和 接收 方 做 任何 的 认证 ,这 样 在 网 络 中 可 能 会 存在 伪造 的 ARP 和 
RARP 数据 包 , 导 致 中 间 人 攻击 发 生 的 可 能 性 。MITM 中 间 人 攻击 的 具体 做 法 是 攻击 者 分 
别 向 源 主机 和 目的 主机 发 送 伪造 的 RARP 数据 包 以 欺骗 源 主机 和 目的 主机 ,使 源 主机 和 目 
的 主机 均 认为 攻击 者 主机 是 自己 的 通信 方 ,这 样 攻击 者 就 会 成 功 获取 他 们 传送 的 所 有 信息 。 





7.2 Internet 欺骗 


Internet 欺骗 是 指 攻击 者 通过 伪造 一 些 容易 引起 错觉 的 信息 来 诱导 受骗 者 做 出 错误 
的 、 与 安全 有 关 的 决策 。 电 子 欺骗 是 通过 伪造 源 于 一 个 可 信任 地 址 的 数据 包 以 使 一 台 机 器 
认证 另 一 台 机 器 的 网 络 攻击 手段 。Internet 欺骗 有 IP 电子 欺骗 .ARP 电子 欺骗 .DNS 电子 
欺骗 和 Web 电子 欺骗 几 种 类 型 (Web 电子 欺骗 将 在 7. 3. 3 节 介 绍 ) 。 
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7.2.1 JP 电子 欺骗 


IP 电子 欺骗 (IP Spoof) 攻 击 是 指 利用 TCP/IP 协议 本 身 的 缺陷 进行 的 入 侵 , 即 用 一 台 
主机 设备 冒充 另外 一 台 主 机 的 IP 地 址 ,与 其 他 设备 通信 ,从 而 达到 某 种 目的 的 过 程 。 它 不 
是 进攻 的 结果 ,而 是 进攻 的 手段 ,实际 上 是 对 两 台 主 机 之 间 信 任 关系 的 破坏 。 

IP 电子 欺骗 是 攻击 者 攻克 Internet 防火 墙 系统 最 常用 的 方法 ,也 是 许多 其 他 攻击 方法 
的 基础 。IP 电子 欺骗 通过 伪造 某 台 主机 的 IP 地 址 ,使 得 某 台 主机 能 够 伪装 成 另外 一 台 主 
机 ,而 这 人 台 主 机 往往 具有 某 种 特权 或 被 其 他 的 主机 所 信任 。 对 于 来 自 网 络 外 部 的 IP 电子 欺 
骗 , 只 要 配置 一 下 防火 墙 就 可 以 了 ,但 对 同一 网 络 内 的 其 他 机 器 实施 的 攻击 则 不 易 防 范 。 

IP 电子 欺骗 是 一 种 攻击 方法 ,即使 主机 系统 本 身 没 有 任何 漏洞 ,入 侵 者 仍然 可 以 使 用 
各 种 手段 来 达到 攻击 目的 。 这 种 欺骗 是 纯 属 技术 性 的 ,一 般 都 是 利用 TCP/IP 协议 本 身 存 
在 的 一 些 缺陷 。 当 然 , 进 行 这 样 的 欺骗 也 是 有 一 定 难度 的 。 

1. IP 电子 欺骗 原理 

IP 协议 是 网 络 层面 向 无 连接 的 协议 ,IP 数据 包 的 主要 内 容 由 源 IP 地 址 .目的 IP 地 址 
和 所 传 数据 构成 。IP 的 任务 就 是 根据 每 个 数据 报 文 的 目的 地 址 和 路 由 ,完成 报 文 从 源 地 址 
到 目的 地 址 的 传送 。IP 不 会 考虑 报 文 在 传送 过 程 中 是 否 丢 失 或 出 现 差 错 。IP 数据 包 只 是 
根据 数据 报 文 中 的 目的 地 址 发 送 ,因此 借助 于 高 层 协议 的 应 用 程序 来 伪造 IP 地 址 是 比较 容 
易 实现 的 。 

IP 电子 欺骗 是 利用 了 主机 之 间 的 正常 信任 关系 来 发 动 的 。 例 如 ,在 UNIX 主机 中 , 存 
在 着 一 种 特殊 的 信任 关系 。 假 设 有 两 台 主 机 A 和 B 上 各 有 一 个 账户 Tomy。 使 用 中 会 发 
现 ,在 主机 A 上 使 用 时 要 输入 主机 A 上 的 相应 账户 Tomy, 在 主机 B 上 使 用 时 必须 输入 主 
机 B 的 账户 Tomy。 主 机 A 和 主机 B 上 的 两 个 Tomy 账户 是 两 个 互 不 相关 的 用 户 , 这 显然 
有 些 不 便 。 为 了 减少 这 种 不 便 , 可 以 在 主机 A 和 主机 B 中 建立 起 两 个 账户 的 相互 信任 关 
系 。 分 别 在 主机 A 和 主机 B 上 Tomy 的 home 目录 中 创建 . rhosts 文件 。 在 主机 A 的 
home 目录 中 用 相应 的 命令 实现 主机 A 与 主机 B 的 信任 关系 。 这 时 ,用 户 从 主机 B 上 就 可 
以 很 方便 地 使 用 任何 以 r 开头 的 远程 调用 命令 了 ,如 rlogin、rsh、rcp 等 ,而 无 须 输入 口令 验 
证 就 可 以 直接 登录 到 主机 A 上 。 这 些 命令 将 允许 以 IP 地 址 为 基础 的 验证 ,允许 或 者 拒绝 
以 IP 地 址 为 基础 的 存 取 服务 。 这 样 的 信任 关系 是 基于 IP 的 地 址 的 。 

假如 某 人 能 够 冒充 主机 也 的 IP 地 址 .就 可 以 使 用 rlogin 登录 到 主机 A, 而 不 需 任 何 口 
令 验 证 。 这 就 是 IP 电子 欺骗 的 最 根本 的 理论 依据 。 但 是 ,虽然 可 以 通过 编程 的 方法 随意 改 
变 发 出 的 数据 包 的 IP 地 址 ,但 TCP 协议 对 IP 进行 了 进一步 的 封装 , 它 是 一 种 相对 可 靠 的 
协议 ,不 会 让 黑客 轻易 得 偿 。 

TCP 协议 作为 两 台 通信 设备 之 间 保 证 数据 顺序 传输 的 协议 ,是 面向 连接 的 , 它 需 要 在 
连接 双方 都 同意 的 情况 下 才能 进行 通信 。 任 何 两 台 设 备 之 间 欲 建立 TCP 连接 都 需要 一 个 
双方 确认 的 起 始 过 程 , 即 “三 次 握手 ”。 

由 此 我 们 可 以 想到 ,假如 要 冒充 主机 B 对 主机 A 进行 攻击 ,就 要 先 使 用 主机 也 的 卫 地 
止 发 送 SYN 标志 给 主机 A, 但 是 当主 机 A 收 到 后 ,并 不 会 把 SYN/ACK 发 送 到 冒充 者 的 主 
机 上 ,而 是 发 送 到 真正 的 主机 B 上。 这 时 ,因为 主机 B 根 本 没 发 送 SYN 请 求 ,冒充 者 的 企 
图 将 会 立即 被 揭穿 。 因 此 ,要 冒充 主机 B. 首 先 要 让 主机 B 失去 工作 能 力 , 如 利用 DoS 攻 
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各 种 手段 来 达到 攻击 目的 。 这 种 欺骗 是 纯 属 技术 性 的 ,一 般 都 是 利用 TCP/IP 协议 本 身 存 
在 的 一 些 缺陷 。 当 然 , 进 行 这 样 的 欺骗 也 是 有 一 定 难度 的 。 

1. IP 电子 欺骗 原理 

IP 协议 是 网 络 层面 向 无 连接 的 协议 ,IP 数据 包 的 主要 内 容 由 源 IP 地 址 .目的 IP 地 址 
和 所 传 数据 构成 。IP 的 任务 就 是 根据 每 个 数据 报 文 的 目的 地 址 和 路 由 ,完成 报 文 从 源 地 址 
到 目的 地 址 的 传送 。IP 不 会 考虑 报 文 在 传送 过 程 中 是 否 丢 失 或 出 现 差 错 。IP 数据 包 只 是 
根据 数据 报 文 中 的 目的 地 址 发 送 ,因此 借助 于 高 层 协议 的 应 用 程序 来 伪造 IP 地 址 是 比较 容 
易 实现 的 。 

IP 电子 欺骗 是 利用 了 主机 之 间 的 正常 信任 关系 来 发 动 的 。 例 如 ,在 UNIX 主机 中 , 存 
在 着 一 种 特殊 的 信任 关系 。 假 设 有 两 台 主 机 A 和 B 上 各 有 一 个 账户 Tomy。 使 用 中 会 发 
现 ,在 主机 A 上 使 用 时 要 输入 主机 A 上 的 相应 账户 Tomy, 在 主机 B 上 使 用 时 必须 输入 主 
机 B 的 账户 Tomy。 主 机 A 和 主机 B 上 的 两 个 Tomy 账户 是 两 个 互 不 相关 的 用 户 , 这 显然 
有 些 不 便 。 为 了 减少 这 种 不 便 , 可 以 在 主机 A 和 主机 B 中 建立 起 两 个 账户 的 相互 信任 关 
系 。 分 别 在 主机 A 和 主机 B 上 Tomy 的 home 目录 中 创建 . rhosts 文件 。 在 主机 A 的 
home 目录 中 用 相应 的 命令 实现 主机 A 与 主机 B 的 信任 关系 。 这 时 ,用 户 从 主机 B 上 就 可 
以 很 方便 地 使 用 任何 以 r 开头 的 远程 调用 命令 了 ,如 rlogin、rsh、rcp 等 ,而 无 须 输入 口令 验 
证 就 可 以 直接 登录 到 主机 A 上 。 这 些 命令 将 允许 以 IP 地 址 为 基础 的 验证 ,允许 或 者 拒绝 
以 IP 地 址 为 基础 的 存 取 服务 。 这 样 的 信任 关系 是 基于 IP 的 地 址 的 。 

假如 某 人 能 够 冒充 主机 也 的 IP 地 址 .就 可 以 使 用 rlogin 登录 到 主机 A, 而 不 需 任 何 口 
令 验 证 。 这 就 是 IP 电子 欺骗 的 最 根本 的 理论 依据 。 但 是 ,虽然 可 以 通过 编程 的 方法 随意 改 
变 发 出 的 数据 包 的 IP 地 址 ,但 TCP 协议 对 IP 进行 了 进一步 的 封装 , 它 是 一 种 相对 可 靠 的 
协议 ,不 会 让 黑客 轻易 得 偿 。 

TCP 协议 作为 两 台 通信 设备 之 间 保 证 数据 顺序 传输 的 协议 ,是 面向 连接 的 , 它 需 要 在 
连接 双方 都 同意 的 情况 下 才能 进行 通信 。 任 何 两 台 设 备 之 间 欲 建立 TCP 连接 都 需要 一 个 
双方 确认 的 起 始 过 程 , 即 “三 次 握手 ”。 

由 此 我 们 可 以 想到 ,假如 要 冒充 主机 B 对 主机 A 进行 攻击 ,就 要 先 使 用 主机 也 的 卫 地 
止 发 送 SYN 标志 给 主机 A, 但 是 当主 机 A 收 到 后 ,并 不 会 把 SYN/ACK 发 送 到 冒充 者 的 主 
机 上 ,而 是 发 送 到 真正 的 主机 B 上。 这 时 ,因为 主机 B 根 本 没 发 送 SYN 请 求 ,冒充 者 的 企 
图 将 会 立即 被 揭穿 。 因 此 ,要 冒充 主机 B. 首 先 要 让 主机 B 失去 工作 能 力 , 如 利用 DoS 攻 





击 , 让 主机 B 瘫痪 。 

2. IP 电子 欺骗 过 程 解析 

IP 电子 欺骗 由 若干 个 步骤 组 成 。 首 先 假定 信任 关系 已 经 被 发 现 ,黑客 为 了 进行 IP 电 
子 欺 骗 ,首先 要 使 被 信任 关系 的 主机 失去 工作 能 力 , 同 时 利用 目标 主机 发 出 的 TCP 序列 号 ， 
猜测 出 它 的 数据 序列 号 。 然 后 ,攻击 者 的 主机 伪装 成 被 信任 的 主机 ,同时 建立 起 与 目标 主机 
基于 地 址 验证 的 应 用 连接 。 连 接 成 功 后 ,黑客 就 可 以 设置 后 门 以 便 日 后 使 用 了 。 

为 了 伪装 成 被 信任 的 主机 而 不 露馅 ,需要 使 其 完全 失去 工作 能 力 。 由 于 攻击 者 将 要 代 
蔡 真正 的 被 信任 主机 ,他 必须 确保 真正 的 被 信任 主机 不 能 收 到 任何 有 效 的 网 络 数据 ,否则 将 
会 被 揭穿 。 有 许多 方法 可 以 达到 这 个 目的 (如 SYN 洪 泛 攻击 等 ) 。 

对 目标 主机 进行 攻击 ,必须 知道 目标 主机 的 数据 包 序列 号 。 通 常 是 先 与 被 攻击 主机 的 
一 个 端口 (如 25) 建 立 起 正常 连接 。 这 个 过 程 往往 被 重复 n 次 ,并 将 目标 主机 最 后 所 发 送 的 
初始 序列 号 (ISN) 存 储 起 来 。 然 后 还 需要 估计 他 的 主机 与 被 信任 主机 之 间 的 往返 时 间 ,这 
个 时 间 是 通过 多 次 统计 平均 计算 出 来 的 。 

一 旦 估计 出 ISN 的 大 小 ,就 开始 着 手 进行 攻击 。 当 然 , 攻 击 者 的 虚假 TCP 数据 包 进 入 
目标 主机 时 ,如 果 刚 才 估 计 的 序列 号 是 准确 的 ,那么 进入 的 数据 就 将 被 放置 在 目标 主机 的 组 
冲 区 中 。 但 是 在 实际 的 攻击 过 程 中 往往 不 会 这 么 容易 得 逮 ,如 果 估计 的 序列 号 小 于 正确 值 ， 
那么 该 数据 将 被 放弃 ; 而 如 果 估 计 的 序列 号 大 于 正确 值 ,并 且 在 缓冲 区 的 大 小 之 内 ,那么 该 
数据 就 会 被 认为 是 一 个 未 来 的 数据 ,TCP 模块 将 等 待 其 他 的 数据 ; 如 果 估 计 的 序列 号 大 于 
期 待 的 数字 且 不 在 缓冲 区 之 内 ,TCP 将 会 放弃 它 并 返回 一 个 期 望 获得 的 数据 序列 号 。 

攻击 者 可 伪装 成 被 信任 的 主机 IP, 然 后 向 目标 主机 的 513 端口 发 送 连接 请 求 。 目 标 主 
机 立刻 对 连接 请 求 做 出 反应 ,发 送 更 新 SYN/ACK 确认 包 给 被 信任 的 主机 。 因 为 此 时 被 信 
任 的 主机 仍然 处 于 瘫痪 状态 ,所 以 它 无 法 收 到 这 个 包 。 紧 接着 攻击 者 向 目标 主机 发 送 ACK 
数据 包 , 该 包 使 用 前 面 估计 的 序列 号 加 1。 如 果 攻 击 者 估计 正确 ,目标 主机 将 会 接收 该 
ACK ,连接 就 正式 建立 ,可 开始 数据 传输 。 如 果 达 到 这 一 步 ,一 次 完整 的 IP 电子 欺骗 就 算 
完成 了 。 入 侵 者 已 经 在 目标 主机 上 得 到 了 一 个 Shell, 接 下 来 就 是 利用 系统 的 溢出 或 错误 配 
置 扩 大 权限 。 

IP 电子 欺骗 攻击 的 整个 过 程 可 简要 概括 为 以 下 几 个 步骤 。 

(1) 使 被 信任 主机 的 网 络 暂 时 瘫痪 .以免 对 攻击 造成 干扰 。 

(2) 连接 到 目标 主机 的 某 个 端口 来 猜测 ISN 基 值 和 增加 规律 。 

(3) 把 源 地 址 伪装 成 被 信任 的 主机 ,发 送 带 有 SYN 标志 的 数据 段 请 求 连接 。 

(4) 等 待 目 标 主机 发 送 SYN/ACK 包 给 已 经 瘫痪 的 主机 。 

(5) 再 次 伪装 成 被 信任 的 主机 向 目标 机 发 送 ACK ,此 时 发 送 的 数据 段 带 有 预测 的 目标 
主机 的 ISN 十 1。 

(6) 连接 建立 ,发 送 命 令 请 求 。 

3. IP 电子 欺骗 的 预防 

可 采取 如 下 措施 预防 IP 电子 欺骗 。 

(1) 抛弃 基于 地 址 的 信任 策略 。 阻 止 IP 欺骗 的 简单 方法 是 放弃 以 IP 地 址 为 基础 的 验 
证 。 不 允许 使 用 r+ 类 远程 调用 命令 .删除 rhosts 和 /etc/hosts. equiv 文件 ,使 所 有 用 户 使 用 
其 他 远程 通信 手段 。 
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(2) 进行 包 过 滤 。 如 果 用 户 的 网 络 是 通过 路 由 器 接 入 Internet 的 , 则 可 利用 路 由 器 进 
行 包 过 滤 。 应 保证 只 有 用 户 网 络 内 部 的 主机 之 间 可 以 定义 信任 关系 ,而 当 内 部 主机 与 网 外 
主机 进行 通信 时 要 慎重 处 理 。 另 外 ,使 用 路 由 器 还 可 以 过 滤 掉 所 有 来 自 外 部 的 与 内 部 主机 
建立 连接 的 请 求 ,至 少 要 对 这 些 请 求 进行 监视 和 验证 。 

(3) 使 用 加 密 方 法 。 在 通信 时 要 求 加 密 传 输 和 验证 ,这 也 是 一 种 预防 IP 欺骗 的 可 行 性 
方法 。 在 有 多 种 手段 并 存 时 ,这 种 方法 是 最 为 合适 的 。 

(4) 使 用 随机 的 初始 序列 号 。 随 机 地 选取 初始 序列 号 可 防止 IP 欺骗 攻击 。 每 一 个 连 
接 都 建立 独立 的 序列 号 空间 ,这 些 序列 号 仍 按 以 前 的 方式 增加 ,但 应 使 这 些 序列 号 空 i 
有 明显 的 规律 ,从 而 不 容易 被 人 侵 者 利用 。 


7.2.2 ARP 电子 欺骗 


ARP 协议 是 一 种 将 IP 地 址 转化 成 MAC 地 址 的 协议 。 它 靠 在 内 存 中 保存 的 一 张 转换 
表 来 使 IP 得 以 在 网 络 上 被 目标 主机 应 答 。 通 常 主机 在 发 送 一 个 IP 包 之 前 ,需要 到 该 转换 
表 中 寻找 与 IP 包 对 应 的 MAC 地 址 。 如 果 没 有 找到 ,该 主机 就 会 发 送 一 个 ARP 广播 包 去 
寻找 ,该 转换 表 以 外 的 对 应 IP 地 址 的 主机 将 响应 该 广播 ,应 答 其 MAC 地 址 。 于 是 ,主机 刷 
新 自己 的 ARP 缓存 ,然后 发 出 该 卫 包 。 
1. ARP 电子 欺骗 实例 
ARP 电子 欺骗 就 是 一 种 更 改 ARP Cache 的 技术 。Cache 中 含有 IP 与 MAC 地 址 的 对 
应 表 ( 映 射 信息 ) ,如 果 攻 击 者 更 改 了 ARP Cache 中 IP 的 MAC 地 址 ,来 自 目标 的 响应 数据 
包 就 能 将 信息 发 送 到 攻击 者 的 MAC 地址 ,因为 依据 映射 信息 ,目标 主机 已 经 信任 攻击 者 的 
机 器 了 。 
下 面 介绍 一 个 在 网 络 中 实现 ARP 欺骗 的 例子 。 
一 个 攻击 者 想 非 法 进入 某 台 主机 ,他 知道 这 台 主 机 的 防火 墙 只 对 192. 0.0. 3 开放 23 号 
端口 (Telnet) ,而 他 必须 要 使 用 Telnet 来 进入 这 台 主 机 ,所 以 他 将 做 如 下 操作 。 
(1) 研究 192. 0.0.3 这 台 主 机 ,发 现 如 果 他 发 送 一 个 洪 泛 (Flood) 包 给 192. 0.0.3 的 
139 端口 ,该 机 器 就 会 应 包 而 死 ; 
(2) 主机 发 送 到 192. 0. 0. 3 的 IP 包 将 无 法 被 机 器 应 答 ,系统 开始 更 新 自己 的 ARP 对 
应 表 , 将 192.0. 0. 3 的 项 目 删 去 ; 
(3) 把 自己 的 IP 改 成 192. 0. 0. 3 ,再 发 一 个 ping 命令 给 主机 ,要 求 主机 更 新 ARP 转 
换 表 ; 
(4) 主机 找到 该 IP, 然 后 在 ARP 表 中 加 入 新 的 IP 一 MAC 对 应 关系 ; 
(5) 这 样 ,防火 墙 就 失效 了 ,入 侵 的 IP 变 成 合法 的 MAC 地 址 ,就 可 以 进行 Telnet 了 。 
假如 该 主机 不 仅 提 供 Telnet, 还 提供 r 命 令 (rsh、rcopy、rlogin 等 ), 那 么 所 有 的 安全 约 
定 都 将 失效 ,攻击 者 可 以 放心 地 使 用 这 台 主 机 的 资源 而 不 用 担心 被 记录 什么 。 
上 述 操作 就 是 一 个 ARP 电子 欺骗 过 程 ,这 是 在 同 网 段 发 生 的 情况 。 利 用 交换 式 集 线 
器 或 网 桥 是 无 法 阻止 ARP 电子 欺骗 的 ,只 有 路 由 分 段 是 有 效 的 阻止 手段 ,因为 IP 包 必须 经 
过 路 由 转发 。 在 有 路 由 转发 的 情况 下 ,发送 包 的 IP 主机 的 ARP 对 应 表 中 ,IP 的 对 应 值 是 
路 由 的 MAC 而 非 目标 主机 的 MAC。ARP 电子 欺骗 如 配合 ICMP 欺骗 将 对 网 络 造成 极 大 
的 危害 ,从 某 种 角度 讲 , 这 时 和 人 侵 者 可 以 跨 过 路 由 监听 网 络 中 任意 两 点 的 通信 。 


2. ARP 电子 欺骗 的 防范 

可 采用 如 下 措施 防止 ARP 电子 欺骗 。 

(1) 不 要 把 网 络 的 安全 信任 关系 仅 建立 在 IP 基础 上 或 MAC 基础 上 ,而 是 应 该 建立 在 
IP 十 MAC 基础 上 (即将 IP 和 MAC 两 个 地 址 绑 定 在 一 起 ) 。 

(2) 设置 静态 的 MAC 地 址 到 IP 地 址 对 应 表 ,不 要 让 主机 刷新 设 定好 的 转换 表 。 

(3) 除非 很 有 必要 ,否则 停止 使 用 ARP ,将 ARP 作为 永久 条 目 保存 在 对 应 表 中 。 

(4) 使 用 ARP 服务 器 ,通过 该 服务 器 查找 自己 的 ARP 转换 表 来 响应 其 他 机 器 的 ARP 
广播 ,确保 这 台 ARP 服务 器 不 被 攻击 。 

(5) 使 用 proxy 代理 IP 的 传输 。 

(6) 使 用 硬件 屏蔽 主机 ,设置 好 路 由 ,确保 IP 地 址 能 到 达 合 法 的 路 径 。 

(7) 管理 员 应 定期 从 响应 的 IP 包 中 获得 一 个 ARP 请 求 ,然后 检查 ARP 响应 的 真 





(8) 管理 员 要 定期 轮 询 ,检查 主机 上 的 ARP 缓存 。 
(9) 使 用 防火 墙 连续 监控 网 络 。 


7.2.3 DNS 电子 欺骗 


DNS 是 TCP/IP 协议 体系 中 的 应 用 程序 ,其 主要 功能 是 进行 域名 和 IP 地 址 的 转换 ,这 
种 转换 也 称 作 解 析 。 当 攻击 者 危害 DNS 服务 器 并 明确 地 更 改 主机 名 与 IP 地 址 映射 表 时 ， 
DNS 欺骗 (DNS Spoofing) 就 会 发 生 。 这 些 更 改 被 写 人 DNS 服务 器 上 的 转换 表 中 ,因此 当 
一 个 客户 机 请 求 查询 时 ,用 户 只 能 得 到 这 个 更 改 后 的 地 址 。 该 地 址 是 一 个 完全 处 于 攻击 者 
控制 下 的 机 器 的 IP 地 址 。 因 为 网 络 上 的 主机 都 信任 DNS 服务 器 ,所 以 一 个 被 破坏 的 DNS 
服务 器 可 以 将 客户 引导 到 非法 的 服务 器 上 ,也 可 以 欺骗 服务 器 使 其 相信 一 个 IP 地 址 确实 属 
于 一 个 被 信任 的 客户 。 

1. DNS 的 安全 威胁 

DNS 存在 如 下 安全 威胁 。 

(1) DNS 存在 简单 的 远程 缓冲 区 溢出 攻击 。 

(2) DNS 存在 拒绝 服务 攻击 。 

(3) 设置 不 当 的 DNS 会 泄露 过 多 的 网 络 拓扑 结构 。 如 果 DNS 服务 器 允许 对 任何 机 构 
都 进行 区 域 传输 ,那么 整个 网 络 中 的 主机 名 、IP 列表 、 路 由 器 名 、 路 由 IP 列表 ,甚至 计算 机 
所 在 位 置 等 都 可 能 会 被 轻易 窃取 。 

(4) 利用 被 控制 的 DNS 服务 器 入 侵 整 个 网 络 ,破坏 整个 网 络 的 安全 。 当 一 个 人 侵 者 控 
制 了 DNS 服务 器 后 ,他 就 可 以 随意 地 自 改 DNS 的 记录 信息 ,甚至 使 用 这 些 被 算 改 的 记录 信 
息 来 达到 进一步 人 侵 整 个 网 络 的 目的 。 

(5) 利用 被 控制 的 DNS 服务 器 绕 过 防火 墙 等 其 他 安全 设备 的 控制 。 现 在 一 般 的 网 站 
都 设置 有 防火 墙 ,但 由 于 DNS 的 特殊 性 ,在 UNIX 机 器 上 .DNS 需要 的 端口 是 UDP 53 和 
TCP 53 ,它们 都 需要 使 用 root 执行 权限 。 因 此 ,防火墙 就 很 难 控 制 对 这 些 端口 的 访问 ,和 人 侵 
者 可 以 利用 DNS 的 诸多 漏洞 获取 DNS 服务 器 的 管理 员 权限 。 

(6) 如 果 内 部 网 络 设置 不 合理 ,例如 DNS 服务 器 的 管理 员 密 码 和 内 部 主机 管理 员 密 码 
一 致 ,DNS 服务 器 和 内 部 其 他 主机 就 处 于 同一 网 段 .DNS 服务 器 就 处 于 防火 墙 的 可 信任 区 
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域内 ,这 就 等 于 给 入 侵 者 提供 了 一 个 打开 系统 大 门 的 捷径 。 

2. DNS 电子 欺骗 原理 

在 域名 解析 的 整个 过 程 中 ,客户 端 首先 以 特定 的 标识 向 DNS 服务 器 发 送 域名 查询 数据 
报 ,在 DNS 服务 器 查询 之 后 以 相同 的 ID 号 向 客户 端 发 送 域名 响应 数据 报 。 这 时 ,客户 端 会 
将 收 到 的 DNS 响应 数据 报 的 ID 和 自己 发 送 的 查询 数据 报 的 ID 相 比较 , 若 匹配 则 表明 接收 
到 的 正 是 自己 等 待 的 数据 报 , 如 果 不 匹配 , 则 将 其 丢弃 。 

假如 入 侵 者 伪装 成 DNS 服务 器 提前 向 客户 端 发 送 响应 数据 报 , 那 么 客户 端的 DNS 组 
存 中 的 域名 所 对 应 的 IP 就 是 它们 自己 定义 的 了 ,同时 客户 端 也 就 被 带 入 入 侵 者 希望 的 地 
方 。 入 侵 者 的 欺骗 条 件 只 有 一 个 , 那 就 是 发 送 的 与 ID 匹配 的 DNS 响应 数据 报 在 DNS 服务 
器 发 送 响 应 数据 报 之 前 到 达 客 户 端 。 这 就 是 著名 的 DNS ID 欺骗 。 

DNS 电子 欺骗 有 以 下 两 种 情况 。 

(1) 本 地 主机 与 DNS 服务 器 ,本 地 主机 与 客户 端 主机 均 不 在 同一 个 局 域 网 内 。 这 时 ， 
黑客 人 侵 的 可 能 方法 有 两 种 : 一 种 是 向 客户 端 主机 随机 发 送 大 量 的 DNS 响应 数据 报 ; 另 
一 种 是 向 DNS 服务 器 发 起 拒绝 服务 攻击 和 BIND 漏洞 。 

(2) 本 地 主机 至 少 与 DNS 服务 器 或 客户 端 主机 中 的 某 一 台 处 于 同一 个 局 域 网 内 ,可 以 
通过 ARP 电子 欺骗 来 实现 可 靠 而 稳定 的 DNS ID 欺骗 。 

3. DNS 电子 欺骗 的 防范 

直接 使 用 IP 地 址 访问 重要 的 服务 ,可 以 避 开 DNS 对 域名 的 解析 过 程 , 因 此 也 就 避 开 了 
DNS 电子 欺骗 攻击 。 但 最 根本 的 解决 办 法 还 是 加 密 所 有 对 外 的 数据 流 ,服务 器 应 使 用 SSH 
(Secure ShelD) 等 具有 加 密 功 能 的 协议 ,一般 用 户 则 可 使 用 PGP 类 软件 加 密 所 有 发 送 到 网 
络 上 的 数据 。 

如 果 遇 到 DNS 电子 欺骗 ,应 先 断 开本 地 连接 ,再 启动 本 地 连接 ,这 样 就 可 以 清除 DNS 
缓存 。 有 一 些 例外 情况 不 存在 DNS 电子 欺骗 : 如 果 IE 中 使 用 代理 服务 器 ,那么 DNS 电子 
欺骗 就 不 能 进行 ,因为 此 时 客户 端 并 不 会 在 本 地 进行 域名 请 求 ; 如 果 访 问 的 不 是 本 地 的 网 
站 主页 ,而 是 相关 子 目 录 的 文件 ,那么 在 自 定义 的 网 站 上 就 不 会 找到 相关 的 文件 ,DNS 电子 
欺骗 也 会 以 失败 告终 。 


7.3 网 站 安全 


网 站 安全 是 指 对 网 站 进行 管理 和 控制 ,并 采取 一 定 的 技术 措施 ,从 而 确保 在 一 个 网 站 环 
境 中 信息 数据 的 机 密 化 、 完 整 性 及 可 用 性 受到 有 效 的 保护 。 网 站 安全 的 主要 目标 就 是 要 确 
保 经 由 网 站 传达 的 信息 总 能 够 在 到 达 目 的 地 时 没有 任何 改变 、 丢 失 或 被 他 人 非法 读 取 。 要 
做 到 这 一 点 ,必须 保证 网 站 系统 软件 ,数据库 系统 具有 一 定 的 安全 保护 功能 ,并 保证 网 站 部 
件 如 终端 .数据 链 路 等 的 功能 不 变 且 仅 能 被 授权 的 人 访问 。 

网 站 安全 是 在 攻击 与 防范 这 一 对 矛盾 相互 作用 的 过 程 中 发 展 起 来 的 。 新 的 攻击 导致 必 
须 研究 新 的 防护 措施 ,新 的 防护 措施 又 招致 攻击 者 新 的 攻击 ,如 此 循环 反复 ,网 站 安全 技术 
也 就 在 双方 的 争斗 中 逐步 完善 发 展 起 来 。 


7.3.1 Web 概述 


1. Web 

Web 又 称 World Wide Web( 万 维 网 ) , 它 就 像 一 张 附着 在 Internet 上 的 覆盖 全 球 的 信 
息 “ 蝴 蛛网 ”, 灸 艇 着 无 数 以 超 文本 形式 存在 的 信息 。 它 把 Internet 上 现 有 的 资源 统统 连接 
起 来 ,使 用 户 能 在 Internet 上 已 经 建立 Web 服务 器 的 所 有 站 点 提供 超 文 本 媒体 资源 文档 。 

Web 是 Internet 中 最 受 欢 迎 的 一 种 多 媒体 信息 服务 系统 。 整 个 系统 由 Web 服务 器 、 浏 
览 器 和 通信 协议 组 成 。 通 信 协 议 HTTP 能 够 传输 任意 类 型 的 数据 对 象 来 满足 Web 服务 器 
与 客户 之 间 多 媒体 通信 的 需要 。Web 带 来 的 是 世界 范围 的 超级 文本 服务 。 用 户 可 通过 
Internet 从 世界 各 地 调 来 所 希望 得 到 的 文本 、 图 像 (包括 活动 影像 ) 和 声音 等 信息 。 另 外 ， 
Web 还 可 提供 其 他 的 Internet 服务 ,如 Telnet、.FTP、Gopher 和 Usenet 等 。 

Web 的 成 功 在 于 使 用 了 超 文 本 传输 协议 (HTTP) ,制定 了 一 套 标准 的 、 易 为 人 们 掌握 
的 超 文 本 标记 语言 (HTML) ,使 用 了 信息 资源 的 统一 定位 格式 URL。 我 们 可 以 把 Web 看 
作 是 一 个 图 书馆 ,而 每 一 个 网 站 就 是 这 个 图 书馆 中 的 一 本 书 。 每 个 网 站 都 包含 许多 画面 , 进 
人 该 网 站 时 显示 的 第 一 个 画面 就 是 “主页 ?或 “首页 ”( 相 当 于 书 的 目录 ) ,而 同一 个 网 站 的 其 
他 画面 都 是 “网 页 ”"( 相 当 于 书页 ) 。 

2，Web 服务 器 和 浏览 器 

Internet 上 有 大 量 的 Web 服务 器 ,这 些 Web 服务 器 上 汇集 了 大 量 的 信息 。Web 服务 
器 就 管理 这 些 信息 ,并 与 Web 浏览 器 打交道 。Web 服务 器 处 理 来 自 Web 浏览 器 的 用 户 请 
求 , 并 将 满足 用 户 要 求 的 信息 返回 给 客户 。 

Web 浏览 器 是 客户 阅读 Web 上 信息 的 客户 端 软件 。 如 果 用 户 在 本 地 机 器 上 安装 了 
Web 浏览 器 软件 ,就 可 读 取 Web 服务 器 上 的 信息 。Web 浏览 器 将 Web 上 的 多 媒体 信息 转 
换 成 人 们 可 以 看 得 到 、 听 得 见 的 文字 、 图 形 和 声音 。 现 在 越 来 越 多 的 浏览 器 都 提供 了 插件 型 
多 媒体 播放 功能 。 常 用 的 Web 浏览 器 软件 有 很 多 ,如 Internet Explorer(IE 浏览 器 )、 火 狐 
浏览 器 (Firefox) .腾讯 TT 浏览 器 、Opera 浏览 器 .猎豹 浏览 器 .QQ 浏览 器 等 。 使 用 Web 浏 
览 器 可 在 Internet 上 方便 地 浏览 网 页 文件 ,这 些 网 页 文件 包括 文本 、 图 像 图 形 、 语 音 等 多 媒 
体 信息 。 

Web 最 吸引 人 的 地 方 是 它 的 “简单 性 ”, 其 工作 过 程 也 是 Client/Server 模式 。 信 息 资源 
以 网 页 (HTML 文件 ) 形 式 存储 在 Web 服务 器 中 , 当 用 户 希 望 得 到 某 种 信息 时 ,要 先 与 
Internet 建立 连接 (上 网 ) ,然后 通过 Web 客户 端 程序 (浏览 器 ) 向 Web 服务 器 发 出 请 求 。 
Web 服务 器 根据 客户 的 请 求 给 予 响 应 ,将 在 Web 服务 器 中 存放 的 符合 用户 要 求 的 某 个 网 
页 发 送 给 客户 端 ,浏览 器 在 收 到 该 页 面 后 对 其 进行 解释 .最 终 将 图 文 等 信息 呈现 给 客户 。 这 
样 ,人 们 可 以 通过 网 页 中 的 链接 ,方便 地 访问 位 于 其 他 Web 服务 器 中 的 页 面 或 其 他 类 型 的 
网 络 信息 资源 。 


7.3.2 网 站 的 安全 


1. Web 应 用 的 安全 威胁 


Web 服务 在 为 人 们 带 来 大 量 信息 的 同时 ,也 面临 着 严峻 的 考验 , 即 Web 应 用 的 安全 性 2 


受到 了 极 大 的 威胁 。Web 应 用 面临 的 主要 威胁 有 信息 泄露 .拒绝 服务 和 系统 崩溃 。 章 
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(1) 信息 泄露 。 攻 击 者 可 通过 各 种 手段 ,非法 访问 Web 服务 器 或 浏览 器 ,获取 敏感 信 
息 ; 或 中 途 截 获 Web 服务 器 和 浏览 器 之 间 传 输 的 敏感 信息 ; 或 由 于 系统 配置 .软件 等 原因 
无 意 泄露 敏感 信息 。 

(2) 拒绝 服务 。 攻 击 者 可 在 短 时 间 内 向 目标 机 器 发 送 大 量 的 正常 的 请 求 包 ,并 使 目标 
机 器 维持 相应 的 连接 ; 或 发 送 需 要 目标 机 器 解析 的 大 量 无 用 的 数据 包 , 使 得 目标 机 器 的 资 
源 耗 尽 ,而 无 法 响应 正常 的 服务 。 

(3) 系统 崩溃 。 攻 击 者 可 通过 Web 算 改 .毁坏 信息 , 自 改 .删除 关键 性 文件 ,格式 化 磁 
盘 等 使 Web 服务 器 或 浏览 器 崩溃 。 

2. Web 服务 器 的 安全 

1) Web 服务 器 的 不 安全 因素 

Web 服务 器 上 的 漏洞 可 涉及 以 下 几 方 面 的 因素 。 

(1) 在 Web 服务 器 上 存放 有 秘密 文件 .目录 或 重要 数据 ,容易 受到 不 法 分 子 的 凯 饥 。 

(2) 当 远 程 用 户 向 服务 器 发 送信 息 ,特别 是 信用 卡 之 类 的 信息 时 ,中 途 可 能 会 遭 不 法 分 
子 非法 拦截 。 

(3) Web 服务 器 本 身 存在 一 些 漏洞 ,使 得 一 些 人 可 能 会 侵入 到 主机 系统 ,破坏 一 些 重要 
的 数据 ,甚至 造成 系统 瘫痪 。 

(4) 使 用 CGI 脚本 编写 的 程序 ,， 当 涉及 远程 用 户 从 浏览 器 中 输入 表格 ,并 进行 检索 或 在 
主机 上 直接 操作 命令 时 ,可 能 会 给 Web 主机 系统 造成 危险 。 

因此 ,不 管 是 配置 服务 器 ,还 是 在 编写 CGI 程序 时 都 要 注意 系统 的 安全 性 。 尽 量 堵 住 
任何 存在 的 漏洞 ,创造 安全 的 环境 。 

2) Web 服务 器 的 安全 需求 

(1) 维护 公布 信息 的 真实 性 和 完整 性 。 

(2) 维护 Web 服务 的 安全 可 用 。 

(3) 保护 Web 访问 者 的 隐私 。 

(4) 保护 Web 服务 器 不 被 攻击 者 作为 "跳板 ”。 

3) Web 服务 器 的 安全 措施 

(1) 限制 在 Web 服务 器 中 开设 账户 ,定期 删除 一 些 中 断 进程 的 用 户 ; 对 在 Web 服务 器 
开设 的 账户 的 口令 长 度 及 定期 更 改 方面 做 出 要 求 .防止 账户 被 次 用 。 

(2) 尽量 与 FTP 服务 器 、E-mail 服务 器 等 分 开 , 关 闭 无 关 的 应 用 。 

(3) 删除 Web 服务 器 上 那些 绝对 不 用 的 系统 。 

(4) 定期 查看 服务 器 中 的 日 志 logs 文件 ,分 析 一 切 可 疑 事件 。 

(5) 设置 好 Web 服务 器 上 系统 文件 的 权限 和 属性 ,对 允许 访问 的 文档 分 配 一 个 公用 的 
组 (如 WWW 组 ) ,并 只 分 配 它 * 只 读 ? 权 限 。 把 所 有 的 HTML 文件 归属 WWW 组 ,由 Web 
管理 员 管理 WWW 组 。 对 于 Web 配置 文件 仅 授予 Web 管理 员 有 “ 写 ” 权 限 。 

(6) 网 站 管理 者 应 主动 进行 网 站 漏洞 扫描 ,及 时 发 现 系统 漏洞 ; 时 刻 关 注 和 应 用 官方 
发 布 的 安全 补丁 堵塞 Bug。 

(7) 经 常备 份 数据 库 等 重要 文件 以 免 突 发 情况 使 重要 资料 难以 恢复 。 

(8) 提供 详细 的 意外 事件 的 处 理 预案 ,该 预案 应 明确 意外 事件 发 生 时 需 注意 的 事项 和 
处 理 原则 ,甚至 包括 处 理 流 程 、 应 急 小 组 的 职责 以 及 相关 个 人 与 安全 急救 组 织 的 联系 方 


戒 等 。 

3. Web 浏览 器 的 安全 

Web 浏览 器 可 为 客户 提供 一 个 简单 实用 且 功 能 强大 的 图 形 化 界面 ,使 客户 不 必 经 过 专 
业 化 训练 即 可 在 网 络 里 漫游 。 但 使 用 Web 浏览 器 的 客户 可 能 会 随时 遇 到 安全 问题 。 通 常 ， 
Web 浏览 器 用 户 应 做 到 如 下 安全 保障 。 

(1) 确保 运行 浏览 器 的 系统 不 被 病毒 或 其 他 恶意 程序 侵害 而 被 破坏 。 

(2) 确保 客户 的 个 人 安全 信息 不 外 汇 。 

(3) 确保 交互 的 站 点 的 真实 性 ,以 免 被 欺骗 ,遭受 损失 。 

4.Web 传输 的 安全 

在 Internet 上 , Web 服务 器 和 Web 浏览 器 之 间 的 信息 交换 是 通过 数据 包 在 Internet 中 
传输 实现 的 。 这 些 传 输 过 程 的 安全 要 求 是 很 重要 的 ,因为 Web 数据 的 传输 过 程 直接 影响 着 
Web 应 用 的 安全 。 不 同 的 Web 应 用 对 安全 传输 有 不 同 的 要 求 , 通 常 应 做 到 以 下 几 点 。 

(1) 保证 传输 信息 的 真实 性 。 

(2) 保证 传输 信息 的 完整 性 。 

(3) 保证 传输 信息 的 机 密 性 。 

(4) 保证 信息 的 不 可 否认 性 。 

(5) 保证 信息 的 不 可 重用 性 。 

为 了 透明 地 解决 Web 应 用 的 安全 问题 ,最 合适 的 入 手 点 是 浏览 器 。 目 前 使 用 的 绝 大 部 
分 浏览 器 都 支持 SSL 协议 。 在 两 个 实体 进行 通信 之 前 , 先 要 建立 SSL 连接 ,以 此 实现 对 应 
用 层 透 明 的 安全 通信 。 利 用 PKI( 公 钥 基 础 设施 ) 技 术 ,SSL 协议 允许 在 浏览 器 和 服务 器 之 
间 进 行 保密 通信 。 此 外 ,还 可 以 利用 数字 证 书 保证 通信 安全 ,服务 器 端 和 浏览 器 端 分 别 由 可 
信和 的 第 三 方 颁发 数字 证 书 。 这 样 ,在 交易 时 双方 可 以 通过 数字 证 书 确认 对 方 的 身份 。 需 要 
注意 的 是 ,SSL 协议 本 身 并 不 能 提供 对 不 可 否认 性 的 支持 ,这 部 分 工作 必须 由 数字 证 书 完 
成 。 结 合 SSL 协议 与 数字 证 书 ,PKI 技术 可 以 保证 Web 交易 多 方面 的 安全 需求 ,使 Web 上 
的 交易 同 面对面 的 交易 一 样 安全 。 


7.3.3 Web 电子 欺骗 与 防范 


1. Web 电子 欺骗 攻击 

Web 电子 欺骗 就 是 一 种 网 络 欺骗 ,攻击 者 构建 的 虚拟 网 站 就 像 真 实 的 站 点 一 样 , 有 同 
样 的 连接 和 页 面 。 攻 击 者 切断 从 被 攻击 者 主机 到 目标 服务 器 之 间 的 正常 连接 ,建立 一 条 从 
被 攻击 者 主机 到 攻击 者 主机 ,再 到 目标 服务 器 的 连接 。 实 际 上 ,被 欺骗 的 所 有 浏览 器 用 户 与 
这 些 伪 装 页 面 的 交互 过 程 都 受到 攻击 者 的 控制 。 虽然 这 种 攻击 不 会 直接 造成 计算 机 的 软 、 
硬件 损坏 ,但 它 所 带 来 的 损失 也 是 不 可 忽视 的 。 通 过 攻击 者 的 计算 机 ,被 攻击 者 的 一 切 信息 
都 会 一 览 无 余 。 攻 击 者 可 以 轻而易举 地 得 到 合法 用 户 输入 的 用 户 名 、 密 码 等 敏感 资料 , 且 不 
会 使 用 户主 机 出 现 死机 、 重 启 等 现象 ,用 户 不 易 觉察 。 这 也 是 Web 电子 欺骗 最 危险 的 地 方 。 

Web 电子 欺骗 可 使 攻击 者 创建 整个 WWW 的 副本 。 映 像 Web 的 入 口 进 入 到 攻击 者 的 
Web 服务 器 ,经 过 攻击 者 主机 的 过 滤 后 ,攻击 者 可 以 监控 合法 用 户 的 任何 活动 ,窥视 用 户 的 
所 有 信息 。 攻击 者 也 能 以 合法 用 户 的 身份 将 错误 的 数据 发 送 到 真正 的 Web 服务 器 上 ,还 能 
以 Web 服务 器 的 身份 发 送 数 据 给 被 攻击 者 。 总 之 ,如 果 攻 击 成 功 .攻击 者 就 能 观察 和 控制 
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合法 用 户 在 Web 上 做 的 每 一 件 事 。 

Web 电子 欺骗 有 时 看 起 来 就 像 是 一 场 虚拟 游戏 。 如 果 该 虚拟 世界 是 真实 的 ,那么 用 户 
所 做 的 一 切 都 是 无 可 厚 非 的 。 但 攻击 者 往往 都 有 险恶 的 用 意 ,这 个 双 真 的 环境 可 能 会 给 用 
户 带 来 灾难 性 的 损失 。 

攻击 者 利用 Web 功能 进行 欺骗 攻击 ,很 容易 侵害 Web 用 户 的 隐私 和 数据 完整 性 。 这 
种 入 侵 可 在 现 有 的 系统 上 实现 ,危害 Web 浏览 器 用 户 。 

用 户 如 果 仔 细 观 察 ,也 会 发 现 一 些 迹 象 。 例 如 在 浏览 某 个 网 站 时 ,如 果 速 度 明 显 变 慢 并 
出 现 一 些 其 他 的 异常 现象 ,就 要 留心 这 是 否 潜藏 着 危险 。 可 以 将 鼠标 移 到 网 页 中 的 一 条 超 
级 链接 上 ,查看 状态 行 中 的 地 址 是 否 与 要 访问 的 地 址 一 致 ,或 者 直接 查看 地 址 栏 中 的 地 址 是 
否 正确 。 还 可 以 查看 网 页 的 源 代码 ,如果 发 现代 码 的 地 址 被 改动 了 , 即 可 初步 判定 是 受到 了 
攻击 。 

2. Web 电子 欺骗 原理 

Web 电子 欺骗 是 一 种 电子 信息 欺骗 ,攻击 者 创建 了 一 个 完全 错误 的 但 却 似 令 人 信服 的 
Web 副本 ,这 个 错误 的 Web 看 起 来 十 分 逼真 , 它 拥有 大 家 熟悉 的 网 页 和 链接 。 然 而 攻击 者 
控制 着 虚假 的 Web 站 点 ,造成 被 攻击 者 的 浏览 器 和 Web 之 问 的 所 有 网 络 信息 都 被 攻击 者 
所 截获 。 

攻击 者 可 以 观察 或 修改 任何 从 被 攻击 者 到 Web 服务 器 的 信息 ,也 能 控制 从 Web 服务 
器 返回 用 户主 机 的 数据 ,这 样 ,攻击 者 就 能 自由 地 选择 发 起 攻击 的 方式 。 

由 于 攻击 者 可 监视 合法 用 户 的 网 络 信息 ,记录 他 们 访问 的 网 页 和 内 容 ,所 以 当 用 户 填 写 
完 一 个 表单 并 提交 后 ,这些 应 被 传送 到 服务 器 的 数据 , 先 被 攻击 者 得 到 并 被 处 理 。Web 服 
务 器 返回 给 用 户 的 信息 ,也 先 由 攻击 者 经 手 。 绝 大 部 分 的 在 线 企业 都 使 用 表单 来 处 理 业务 ， 
这 意味 着 攻击 者 可 轻易 地 获得 用 户 的 账号 和 密码 。 在 得 到 必要 的 数据 后 ,攻击 者 可 通过 修 
改 被 攻击 者 和 Web 服务 器 间 传 输 的 数据 ,来 进行 破坏 活动 。 攻 击 者 可 修改 用 户 的 确认 数 
据 , 例 如 用 户 在 线 订 购 某 个 产品 时 ,攻击 者 可 以 修改 产品 代码 、 数 量 及 邮购 地 址 等 。 攻 击 者 
也 能 修改 Web 服务 器 返回 的 数据 ,插入 错误 的 资料 ,破坏 用 户 与 在 线 企业 的 关系 等 。 

攻击 者 在 进行 Web 电子 欺骗 时 ,不必 存 取 整 个 Web 上 的 内 容 , 只 需要 伪造 出 一 条 通 向 
整个 Web 的 链 路 。 在 攻击 者 伪造 提供 某 个 Web 站 点 时 ,只 需要 在 自己 的 服务 器 上 建立 一 
个 该 站 点 的 副本 ,来 等 待 受 害 者 “ 自 投 罗网 ”。 

Web 电子 欺骗 成 功 的 关键 在 于 用 户 与 其 他 Web 服务 器 之 间 建 立 Web 电子 欺骗 服务 
器 。 攻 击 者 在 进行 Web 电子 欺骗 时 ,一 般 会 采取 改写 URL、 表 单 陷阱 .不 安全 的 “安全 链 
接 ” 和 诱骗 等 方法 。 

攻击 者 的 这 些 Web 电子 欺骗 之 所 以 成 功 ,是 因为 攻击 者 在 某 些 Web 网 页 上 改写 所 有 
与 目标 Web 站 点 有 关 的 链接 ,使 得 不 能 指向 真正 的 Web 服务 器 ,而 是 指向 攻击 者 设置 的 伪 
服务 器 。 攻 击 者 的 伪 服 务 器 设置 在 受骗 用 户 与 目标 Web 服务 的 必 经 之 路 上 。 当 用 户 点 击 
这 些 链接 时 ,首先 指向 了 伪 服 务 器 。 攻 击 者 向 真正 的 服务 器 索取 用 户 所 需 的 界面 , 当 获 得 
Web 送 来 的 页 面 后 , 伪 服 务 器 改写 链接 并 加 入 伪装 代码 ,再 将 页 面 送 给 被 欺骗 的 浏览 器 
用 户 。 

3. Web 电子 欺骗 的 预防 

Web 电子 欺骗 攻击 是 Internet 上 相当 危险 且 不 易 被 觉察 的 欺骗 手法 ,其 危害 性 很 大 ， 








受骗 用 户 可 能 会 在 不 知 不 觉 中 泄露 机 密 信息 ,还 可 能 遭受 经 济 损失 。 采 用 如 下 措施 可 防范 
Web 电子 欺骗 。 

(1) 在 欺骗 页 面 上 ,用 户 可 通过 使 用 收藏 夹 功能 ,或 使 用 浏览 器 中 的 Open Location 变 
换 到 其 他 Web 页 面 下 ,这 样 就 能 远离 攻击 者 设 下 的 陷阱 。 

(2) 禁止 浏览 器 中 的 Java Script 功能 ,使 攻击 者 改写 页 面 上 信息 的 难度 加 大 。 同 时 确 
保 浏览 器 的 连接 状态 栏 是 可 见 的 ,并 时 刻 观 察 状态 栏 中 显示 的 位 置信 息 有 无 异常 。 

(3) 改变 浏览 器 设置 ,使 之 具有 反映 真实 URL 信息 的 功能 。 

(4) 通过 真正 安全 的 链接 建立 从 Web 到 浏览 器 的 会 话 进程 ,而 不 只 是 表示 一 种 安全 链 








7.4 电子 邮件 安全 


电子 邮件 (E-mail) 是 一 种 用 电子 手段 提供 信息 交换 的 通信 方式 ,是 互联 网 应 用 最 广泛 
的 服务 之 一 。 常 用 的 电子 邮件 协议 有 SMTP 协议 和 POP3 协议 ,它们 都 属于 TCP/IP 协议 
集 。 默 认 状态 下 ,分 别 通过 TCP 端口 25 和 110 建立 连接 。 

SMTP 协议 是 一 组 用 于 从 源 地 址 到 目的 地 址 传输 邮件 的 规范 ,用 来 控制 邮件 的 中 转 方 
式 。SMTP 协议 要 求 用 户 使 用 SMTP 认证 ,用户 只 有 在 提供 了 账户 名 和 密码 之 后 才 可 以 登 
录 SMTP 服务 器 ,使 用 户 避 免 受 到 垃圾 邮件 的 侵扰 。 

POP 协议 负责 从 邮件 服务 器 中 检索 电子 邮件 。POP 协议 支持 多 用 户 互联 网 邮件 扩展 ， 
允许 用 户 在 电子 邮件 上 附带 二 进 制 文件 ,可 以 传输 任何 格式 的 文件 。 在 用 户 阅 读 邮 件 时 ， 
POP 命令 所 有 的 邮件 信息 立即 下 载 到 用 户 的 终端 设备 上 而 不 在 服务 器 上 保留 。 


7.4.1 电子 邮件 的 安全 漏洞 和 威胁 


电子 邮件 系统 存在 很 多 漏洞 ,这 些 漏洞 很 容易 受到 黑客 的 攻击 。 邮 件 攻击 成 为 黑客 渗 
透 内 部 网 络 系统 的 重要 方法 。E-mail 系统 存在 如 下 安全 漏洞 。 

(1) 邮件 用 户 账 号 的 弱 口令 。 

(2) 邮件 服务 器 泄露 用 户 的 账号 信息 。 

(3) 邮件 服务 器 允许 随意 转发 。 

(4) 邮件 服务 器 的 中 继 没有 限制 。 

(5) 邮件 服务 器 没有 过 滤 功 能 。 

(6) 邮件 服务 器 无 法 完全 识别 恶意 数据 。 

(7) 发 送 邮件 地 址 不 进行 确认 。 

(8) 邮件 服务 器 编码 漏洞 。 

(9) 邮件 明文 传输 ,未 经 加 密 处 理 。 

(10) 发 件 人 身份 无 须 验证 和 授权 。 

(11) 邮件 客户 程序 的 非 安全 触发 机 制 。 

邮件 服务 器 的 各 种 漏洞 使 得 电子 邮件 面临 以 下 几 种 典型 的 安全 威胁 。 

(1) 邮件 拒绝 服务 。 攻 击 者 通过 某 些 手段 ,如 电子 邮件 炸弹 ,以 来 历 不 明 的 邮件 地 址 ， 
重复 地 将 电子 邮件 发 送 给 同一 个 收 信人 。 这 种 以 重复 的 信息 不 断 地 进行 电子 邮件 又 炸 的 操 | 章 
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作 , 可 以 消耗 大 量 的 网 络 资源 ,同时 使 得 用 户 邮箱 存储 资源 的 需求 剧 增 ,造成 邮箱 无 法 使 用 。 

(2) 非法 利用 邮件 软件 的 漏洞 。 攻 击 者 利用 邮件 软件 程序 的 漏洞 来 攻击 网 站 ,特别 是 
一 些 具 有 缓冲 区 溢出 漏洞 的 程序 。 攻 击 者 编写 一 些 漏洞 利用 程序 ,使 得 邮件 服务 失去 控制 ， 
一 旦 缓冲 区 溢出 成 功 ,攻击 者 就 可 以 执行 其 恶意 指令 。 目 前 ,邮件 成 为 渗透 内 网 的 重要 攻击 

(3) 邮件 密码 的 暴力 破解 。 攻 击 者 通过 邮件 密码 猜测 程序 暴力 破解 用 户 邮 箱 的 密码 。 

(4) 用 户 邮 箱 地 址 泄露 。 攻 击 者 利用 邮件 服务 管理 配置 的 漏洞 ,造成 远程 用 户 可 以 验 
证 邮件 地 址 的 真实 性 以 及 获取 用 户 电 子 邮件 地 址 列表 。 

(5) 非法 监听 邮件 通信 内 容 。 一 般 情 况 下 邮件 服务 使 用 的 SMTP 和 POP3 协议 是 明文 
传输 的 ,攻击 者 可 以 通过 监听 手段 获取 邮件 用 户 之 间 的 通信 内 容 。 

(6) 邮件 恶意 代码 。 攻 击 者 通过 电子 邮件 的 附件 携带 恶意 代码 ,如 病毒 、 木 马 或 蠕虫， 
然后 诱骗 用 户 触 发 执行 ,甚至 利用 邮件 客户 端 软件 的 漏洞 直接 运行 ,进而 控制 用 户 机 器 , 传 
播 病毒 或 进行 其 他 目的 的 攻击 。 


7.4.2 电子 邮件 欺骗 


1. 匿名 转发 

在 正常 的 情况 下 ,发 送 电 子 邮件 都 会 将 发 送 者 的 名 字 和 地 址 包含 进 邮 件 的 附加 信息 中 。 
但 是 ,有 时 发 送 者 将 邮件 发 送出 去 后 不 希望 收 件 者 知道 是 谁 发 的 ,因此 可 以 修改 附加 信息 中 
的 名 字 和 地 址 。 这 种 发 送 邮 件 的 方法 被 称 为 匿名 转发 。 

实现 匿名 转发 的 一 种 最 简单 的 方法 就 是 修改 电子 邮件 中 发 送 者 的 名 字 。 但 这 是 一 种 表 
面 现象 ,因为 通过 信息 表 头 中 的 其 他 信息 , 仍 能 够 跟踪 发 送 者 。 而 让 发 信者 地 址 完全 不 出 现 
在 邮件 中 的 唯一 方法 是 让 其 他 人 发 送 这 个 邮件 ,邮件 中 发 信人 的 地 址 就 变 成 了 转发 者 的 地 
址 了 。 

Internet 上 有 大 量 的 匿名 转发 者 (或 称 为 匿名 服务 器 ) ,发 送 者 将 邮件 发 送 给 匿名 转发 
者 ,并 告诉 这 个 邮件 希望 发 送 给 谁 。 该 匿名 转发 者 删 去 所 有 的 返回 地 址 信息 ,再 将 邮件 转发 
给 真正 的 收 件 人 ,并 将 自己 的 地 址 作为 返回 地 址 插入 到 邮件 中 。 

2. 垃圾 邮件 

垃圾 邮件 ,顾名思义 就 是 不 请 自 来 的 .大 量 散发 的 、 对 接收 者 无 用 的 邮件 。 垃 圾 邮件 是 
未 经 收 件 者 同意 , 即 大 量 散 发 的 邮件 ,信件 内 容 多 半 以 促销 商品 为 目的 。 它 们 可 能 是 某 些 有 
商业 企图 的 人 想 利用 Internet 散播 广告 或 色情 信息 的 媒介 。 

传送 垃圾 邮件 只 需 付出 极 少 的 代价 , 即 可 造成 收 件 者 的 重大 损失 。 假 设 一 个 人 在 每 个 
星期 都 收 到 几 十 封 垃 圾 邮件 ,该 用 户 遭 受 的 损失 或 许 不 会 立即 显现 ,但 若 企业 内 每 个 人 都 收 
到 此 类 信件 时 ,这 对 企业 网 络 环境 的 影响 就 不 仅仅 是 一 件 麻烦 事 了 。 这 些 垃 圾 邮件 对 企业 
无 任何 益处 ,但 是 邮件 服务 器 却 要 承担 这 些 邮件 的 处 理 和 转发 工作 。CPU .服务 器 硬盘 空 
间 终端 机 用 户 硬盘 空间 都 因此 受到 了 影响 。 网 络 资源 被 这 些 毫 无 价值 的 信件 利用 来 分 类 、 
储存 和 寄 发 ,而 那些 真正 对 接收 者 有 用 的 、 含 有 重大 商机 的 邮件 却 被 淹没 在 垃圾 邮件 中 。 垃 
圾 邮件 除了 浪费 网 络 资源 外 ,更 令 人 担心 的 是 其 附件 文件 可 能 夹带 着 病毒 ,这 些 病毒 将 会 危 
害 企业 网 络 。 附 件 网 址 可 能 附加 Java 或 ActiveX 等 恶性 程序 ,许多 特洛伊 木马 病毒 就 会 借 
此 大 量 扩 散 。 可 以 想象 ,如 果 让 这 些 未 经 许可 的 垃圾 邮件 继续 为 所 和 欲 为 ,将 会 给 企业 造成 重 


大 的 损失 。 

3. 电子 邮件 炸弹 
电子 邮件 炸弹 是 指 发 送 者 以 来 历 不 明 的 邮件 地 址 ,重复 地 将 电子 邮件 发 送 给 同一 个 收 
信人 。 由 于 这 就 像 战争 中 利用 某 种 战争 工具 对 同一 个 地 方 进行 狂 友 滥 炸 一 样 ,因此 将 其 称 
为 电子 邮件 炸弹 。 电 子 邮 件 炸 弹 是 最 古老 的 匿名 攻击 之 一 。 

电子 邮件 炸弹 可 以 消耗 大 量 的 网 络 资源 。 用 户 如 果 在 短 时 间 内 收 到 大 量 的 电子 邮件 ， 
总 容量 将 超过 用 户 电子 邮箱 所 能 承受 的 负荷 。 这样, 用 户 的 邮箱 不 仅 不 能 再 接收 其 他 人 发 
送 的 电子 邮件 ,也 会 由 于 “超载 ”而 导致 用 户 端的 电子 邮件 系统 功能 瘫痪 。 

有 些 用 户 可 能 会 想到 利用 电子 邮件 的 回复 和 转发 功能 还 击 , 将 整个 炸弹 “回复 ”给 发 送 
者 。 但 如 果 对 方 将 邮件 的 From 和 To 都 改 为 用 户 的 电子 邮件 地 址 ,那么 可 想 而 知 这 种 “ 回 
复 ” 的 后 果 就 是 所 还 击 的 “炸弹 ”都 会 “反弹 ”回来 * 炸 "着 了 自己 。 如 果 邮 件 服务 器 接收 到 大 
量 的 重复 信息 和 “反弹 ”信息 ,邮件 总 容量 就 会 迅速 膨胀 。 邮 件 服务 器 忙于 处 理 超 大 容量 的 
信息 ,有 可 能 会 导致 邮件 服务 器 脱 网 ,系统 可 能 骨 溃 。 即 使 邮件 系统 还 能 工作 ,电子 邮件 处 
理 的 速度 也 会 变 得 非常 迟钝 。 

用 户 无 法 知道 自己 何 时 会 遭遇 电子 邮件 炸弹 的 袭击 ,因此 ,平时 采取 相应 的 防范 措施 是 
很 必要 的 。 比 较 有 效 的 防范 电子 邮件 炸弹 的 策略 是 采取 防火 墙 或 过 滤 路 由 器 系统 ,这 些 系 
统 可 阻止 恶意 信息 的 传播 。 

4. 冒名 顶替 

由 于 普通 的 电子 邮件 缺乏 安全 认证 ,所 以 冒充 别人 发 送 邮件 并 不 是 难事 。 曾 经 假借 某 
某 公 司 发 送 中 奖 信息 的 电子 邮件 就 使 很 多 人 遭受 损失 。 要 防止 他 人 冒充 用 户 的 名 义 发 送 邮 
件 , 可 以 采用 数字 证 书 发 送 签名 /加 密 邮 件 ,这 种 方式 已 经 被 证 明 是 解决 邮件 安全 问题 的 有 
效 策略 。 


7.4.3 电子 邮件 的 安全 策略 


1. 电子 邮件 的 安全 服务 需求 

作为 Internet 传递 消息 的 重要 工具 ,人 们 希望 电子 邮件 系统 能 够 提供 安全 的 服务 。 具 
体 的 电子 邮件 的 安全 服务 需求 可 归纳 如 下 。 

(1) 保证 邮件 机 密 性 。 只 有 真正 的 收 件 者 才能 阅读 邮件 , 且 邮 件 是 保密 的 。 

(2) 进行 邮件 发 送 者 身份 认证 。 邮 件 服务 能 够 向 接收 者 保证 发 送 者 身份 的 真实 性 。 

(3) 保证 邮件 完整 性 。 邮 件 消 息 在 传递 过 程 中 没有 被 修改 过 。 

(4) 提供 抗 抵赖 性 安全 服务 。 邮 件 系统 能 够 提供 邮件 发 送 证 据 和 邮件 接收 证 据 。 

(5) 邮件 系统 可 防 泄露 。 邮 件 系 统 能 够 保证 具有 某 种 安全 级 别 的 信息 不 会 泄露 到 特定 
区 域 的 能 力 ,能 够 防止 系统 管理 员 非 授权 阅读 邮件 。 

(6) 邮件 系统 可 防 黑客 。 邮 件 系统 能 够 阻止 黑客 攻击 ,保证 邮件 系统 可 用 ,防范 非 授权 
读 取 邮件 。 

(7) 邮件 系统 可 防 垃圾 信息 。 邮 件 系统 能 够 阻止 垃圾 邮件 进入 用 户 信箱 ,保证 信箱 的 
可 用 性 。 

(8) 邮件 系统 可 防 病毒 。 邮 件 系统 能 够 阻止 病毒 传播 ,防止 病毒 破坏 用 户 机 器 或 网 络 
系统 。 
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2. 电子 邮件 的 安全 机 制 

针对 电子 邮件 的 漏洞 和 安全 威胁 ,需要 有 相对 应 的 安全 机 制 来 解决 邮件 系统 安全 服务 
的 问题 。 具 体 的 电子 邮件 安全 机 制 如 下 。 

(1) 邮件 服务 认证 机 制 。 

(2) 邮件 服务 访问 控制 机 制 。 

(3) 邮件 服务 日 志 审 计 机 制 。 

(4) 邮件 过 滤 机 制 。 

(5) 邮件 行为 识别 机 制 。 

(6) 邮件 备份 机 制 。 

(7) 邮件 加 密 保护 机 制 。 

(8) 邮件 病毒 防护 机 制 。 

(9) 操作 系统 安全 机 制 。 

3. 电子 邮件 安全 技术 

为 保证 电子 邮件 的 安全 传输 与 接收 ,除了 采用 本 书 前 面 介绍 的 各 种 网 络 安全 技术 ,如 访 
问 控制 技术 ,数据 备份 技术 信息 过 滤 技 术 、 防 火 墙 安全 技术 、 数 据 加 密 与 身份 认证 技术 、 防 
病毒 技术 、 防 黑客 攻击 技术 、 网 络 监 听 和 扫描 技术 等 外 ,从 Internet 的 互联 通信 协议 TCP/IP 层 
次 角度 考虑 ,还 可 以 采用 如 下 两 类 安全 技术 。 

1) 应 用 层 的 安全 电子 邮件 技术 

应 用 层 的 安全 电子 邮件 技术 可 保证 邮件 从 被 发 出 到 被 接收 的 整个 过 程 中 内 容 保密 、 信 
息 完 整 且 不 可 和 否认。 成 熟 的 应 用 层 安 全 电子 邮件 标准 有 PGP 和 S/MIME。 

PGP 是 长 期 以 来 在 世界 范围 内 得 到 广泛 应 用 的 安全 邮件 标准 ,其 原理 是 通过 单 向 散 列 
算法 对 邮件 内 容 进行 签名 ,以 保证 信件 内 容 无 法 修改 ,使 用 公 钥 和 私 钥 技术 保证 邮件 内 容 保 
密 且 不 可 否认 。 发 信人 与 收 信 人 的 公 钥 都 分 布 在 公开 的 地 方 (如 FTP 站 点 ), 公 钥 本 身 的 权 
威 性 由 第 三 方 、 特 别 是 收 信人 所 熟悉 或 信任 的 第 三 方 进行 签名 认证 。 

S/MIME( 安 全 /多 用 途 Internet 邮件 扩展 ) 同 PGP 一 样 ,也 是 利用 单 向 散 列 算法 和 公 
钥 / 私 钥 的 加 密 体系 。S/MIME 将 信件 内 容 加 密 签名 后 作为 特殊 的 附件 传送 。S/MIME 的 
证 书 也 采用 X. 509 格式 。 

2) 传输 层 的 安全 电子 邮件 技术 

电子 邮件 包括 信 头 和 信 体 。 通 常 的 端 到 端 安全 电子 邮件 技术 一 般 只 对 信 体 进行 加 密 和 
签名 ,而 信 头 则 由 于 邮件 传输 中 寻 址 和 路 由 的 需要 ,必须 保证 不 变 。 在 某 些 应 用 环境 下 要 求 
信 头 在 传输 过 程 中 也 能 保密 ,这 就 需要 传输 层 的 技术 作为 后 盾 。 主 要 有 两 种 方式 来 实现 电 
子 邮件 在 传输 过 程 中 的 安全 ,一 种 是 利用 SSL SMTP 和 SSL POP , 另 一 种 是 利用 VPN 或 
其 他 的 IP 通道 技术 ,将 所 有 的 TCP/IP 传输 (包括 电子 邮件 ) 封 装 起 来 。 

SSL SMTP 和 SSL POP 即 是 在 SSL 所 建立 的 安全 传输 通道 上 运行 SMTP 和 POP 协 
议 , 同 时 又 对 这 两 种 协议 进行 了 扩展 ,以 更 好 地 支持 加 密 的 认证 和 传输 。 这 种 安全 技术 要 求 
在 客户 端 和 服务 器 端的 E-mail 软件 都 支持 ,而且 都 必须 安装 SSL 证 书 。 








7.5 电子 商务 安全 


Internet 已 成 为 全 球 规模 最 大 、 信 息 资源 最 丰富 的 计算 机 网 络 ,利用 它 组 成 的 企业 内 部 
专用 网 Intranet 和 企业 间 的 外 联网 Extranet, 也 已 经 得 到 广泛 的 应 用 。Internet 所 具有 的 
开放 性 、 全 球 化 、 低 成 本 和 高 效率 的 特点 也 已 成 为 电子 商务 的 内 在 特征 ,并 使 得 电子 商务 大 
大 超越 了 作为 一 种 新 的 贸易 形式 所 具有 的 价值 。 它 不 仅 改 变 了 企业 自身 的 生产 ,经 营 和 管 
理 活动 ,而 且 还 将 影响 到 整个 社会 的 经 济 运行 结构 。 


7.5.1 电子 商务 概述 


电子 商务 是 以 Internet 为 基础 进行 的 商务 活动 , 它 通过 电子 方式 处 理 和 传递 数据 ,是 商 
务 活动 的 电子 化 运用 。 它 通过 Internet 进行 包括 政府 商业、 教育 .保健 和 娱乐 等 活动 。 与 
传统 商务 相 比 ,电子 商务 在 三 方面 有 了 新 的 内 涵 和 突破 : 一 是 交易 的 内 容 (电子 商 务 信息 流 
在 很 大 程度 上 取代 了 物流 和 资金 流 ) .二 是 交易 的 场景 (电子 商务 网 络 的 虚拟 交易 取代 了 面 
对 面 的 交易 ) ,三 是 交易 的 工具 (电子 商务 中 无 纸 化 交易 取代 了 手工 的 币 货 交易 )。 电 子 商 务 
是 一 种 现代 商业 方法 ,这 种 方法 通过 改善 产品 和 服务 质量 、 提 高 服务 传递 速度 ,满足 政府 组 
织 、 厂 商 和 消费 者 的 最 低 成 本 的 需求 ; 电子 商务 利用 现 有 的 计算 机 设备 和 网 络 设施 ,在 通过 
一 定 的 协议 连接 起 来 的 电子 网 络 环境 下 进行 各 种 各 样 商务 活动 。 

电子 商务 归根 结 底 是 商务 的 电子 化 。 从 广义 方面 讲 , 电 子 商 务 是 指 通过 电子 手段 建立 
的 一 个 新 的 经 济 秩序 , 它 不 仅 涉 及 电子 技术 和 商业 交易 本 身 , 还 涉及 诸如 政治 、 金 融 、 税 务 、 
法 律 等 社会 其 他 方面 ; 从 狭义 方面 讲 , 电 子 商 务 是 指 各 种 具有 商业 活动 能 力 和 需要 的 实体 
(如 政府 机 构 、 金 融 机 构 等 ) 利 用 计算 机 网 络 和 先进 的 数字 化 传媒 技术 进行 的 各 项 商贸 活动 。 

随 着 经 济 全 球 化 的 进一步 深入 和 互联 网 技术 的 飞速 发 展 ,电子 商务 已 成 为 一 切 经 济 活 
动 不 可 或 缺 的 组 成 元 素 ,其 发 展 前 景 十 分 诱 人 。 特 别 是 在 中 国 , 目 前 电子 商务 发 展 十 分 迅 
速 , 互 联网 上 的 电 商 平台 多 如 牛 毛 ,很 多 商务 实体 店 被 逼 关门 休 店 , 其 中 不 乏 原 来 很 著名 的 
百货 公司 。 截 至 2016 年 年 底 ,中 国 网 民 ( 中 国 Internet 用 户 ) 规 模 达 到 7. 31 亿 ( 接 近 于 欧洲 
人 口 总 量 ) 之 多 ,互联 网 普及 率 达 到 53.2% ,如 图 7.5.1 所 示 。 网 络 应 用 的 一 个 重要 方式 就 
是 在 线 购物 ,网 民 不 出 家 门 便 可 选 遍 世界 ,衣食住行 所 需 都 可 以 在 网 络 上 解决 。 每 年 的 双 十 
一 、 双 十 二 .国庆 节 、 春 节 假 期 等 都 是 中 国 网 购 一 族 血 拼 的 季节 ,淘宝 、 京 东 、1 号 店 等 著名 在 
线 购物 平台 的 销售 额 高 峰 时 以 百 亿 元 计 , 远 远 高 于 实体 百货 商店 。2016 年 我 国 参与 网 络 购 
物 的 用 户 达 到 4.67 亿 , 占 网 民 比 例 为 63.8%, 较 2015 年 增长 12.9% ,其 中 手机 网 络 购物 用 
户 达到 4. 41 亿 ; 使 用 网 上 支付 的 用 户 较 2015 年 增加 0. 58 亿 人 ,使 用 网 上 支付 的 比例 达到 
64.9% ,其 中 手机 支付 用 户 增长 迅速 ,达到 4. 69 亿 , 网 民 手 机 网 上 支付 的 比例 达 67. 5%。 


7.5.2 电子 商务 的 安全 威胁 


电子 商务 是 随 着 互联 网 不 断 发 展 而 出 现 的 新 经 济 形态 ,已 经 成 为 互联 网 上 最 有 潜力 的 
应 用 方向 。 在 互联 网 迅猛 发 展 的 同时 ,互联 网 * 开 放 、 自 由 ”的 价值 观 所 导致 的 网 络 安 全 和 网 
络 信任 威胁 却 始终 存在 ,而 完全 依赖 互联 网 发 展 和 运行 的 电子 商务 也 逃脱 不 了 安全 威胁 。 
世界 各 地 的 电子 商务 都 面临 着 极 大 的 安全 隐患 ,如 2012 年 ,亚马逊 旗下 的 电子 商务 网 站 
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图 7.5.1 中 国 网 民 规模 及 互联 网 普及 率 


Zappos 受到 黑客 的 攻击 ,导致 高 达 2400 万 用 户 的 电子 邮件 以 及 密码 信息 丢失 ; 2012 年 , 雅 
虎 服务 器 被 攻击 ,导致 45. 3 万 份 用 户 信息 泄露 。 由 此 可 见 , 电 子 商 务 安全 形势 极为 严峻 。 

1. 电子 商务 的 不 安全 因素 

(1) 互联 网 上 的 用 户 环 境 复杂 多 样 。 用 户 终端 系统 面临 安全 漏洞 .恶意 程序 等 风险 。 
为 攻击 者 提供 可 乘 之 机 ,攻击 者 借助 已 知 的 信息 或 未 知 的 缺陷 ,向 计算 机 发 动 攻击 ,加 之 用 
户 浏览 恶意 网 站 、 下 载 恶 意 程序 ,导致 计算 机 遭受 木马 ,蠕虫 等 恶意 代码 软件 及 计算 机 病毒 
的 侵扰 ,这 对 于 网 络 终端 系统 而 言 可 谓 是 危机 重重 ,使 得 安全 问题 无 法 得 到 保障 。 

(2) 网 络 设备 破坏 严重 ,服务 器 被 恶意 攻击 。 除 了 用 户 环境 外 ,大 量 的 电子 商务 数据 存 
放 在 服务 器 端 ,因而 更 会 成 为 黑客 等 非法 攻击 的 目标 。 对 于 正在 实施 交易 的 服务 器 而 言 , 他 
们 经 常会 遭 到 攻击 者 的 恶意 破坏 ,如 DDoS 攻击 ,用 户 难 以 防范 ,导致 交易 不 能 正常 进行 ,在 
很 长 一 段 时 间 内 不 能 恢复 正常 。 如 果 服 务 器 端 没 有 有 效 的 防 攻击 手段 ,攻击 者 会 通过 服务 
器 的 漏洞 或 软件 程序 缺陷 ,攻击 服务 器 , 盗 取 服务 器 ` 数 据 库 口令 ,截取 用 户 机密 信 息 , 让 用 
户 蒙 受 损失 。 服 务 器 上 的 数据 库 中 有 电子 商务 活动 过 程 中 的 一 些 保密 数据 ,服务 器 特别 容 
易 受到 安全 的 威胁 ,并 且 一 旦 出 现 安全 问题 ,造成 的 后 果 是 非常 严重 的 。 

(3) 数据 在 网 络 上 传递 的 过 程 中 存在 泄露 风险 。 由 于 交易 过 程 中 需要 在 互联 网 上 传递 
交易 行为 数据 ,因此 数据 在 网 络 上 传递 的 过 程 中 也 存在 着 广泛 的 风险 。 攻 击 者 在 网 络 上 可 
谓 是 无 孔 不 入 ,他们 通过 多 种 手段 ,如 窃听 、 重 放 流量 分 析 等 ,截取 用 户 信息 ,然后 再 利用 自 
身分 析 所 得 的 数据 信息 ,使 用 户 遭 受 巨大 的 经 济 损失 ,这 也 在 某 种 程度 上 无 法 保障 数据 保密 
性 。 电 子 商 务 由 于 和 经 济 行为 直接 相关 ,因此 其 所 面临 的 上 述 安全 威胁 所 造成 的 损害 又 远 
比 普通 门户 网 站 ,娱乐 网 站 等 严重 得 多 。 因 此 ,必须 采取 有 效 的 措施 防范 安全 威胁 。 

(4) 网 络 系统 内 在 和 外 在 因素 的 影响 。 系 统 内 部 工作 人 员 的 失误 和 误 操 作 问题 ,病毒 
和 木马 等 恶意 代码 的 人 侵 问题 ,黑客 /攻击 者 的 蓄意 窃取 和 破坏 问题 ,交易 协议 的 不 安全 问 
题 ,交易 数据 的 泄露 /改变 问题 ,交易 方 身份 的 不 确定 问题 等 ,都 可 能 对 电子 商务 活动 造成 不 
良 的 后 果 。 

2. 电子 商务 的 安全 威胁 

(1) 信息 泄露 /被 截 收 。 在 信息 的 传送 过 程 中 ,如 果 信息 没有 采用 加 密 保护 措施 或 加 密 


强度 不 够 ,攻击 者 就 有 可 能 通过 物理 或 逻辑 的 手段 .对 传输 的 信息 进行 非法 截 收 和 监听 ,或 
通过 对 信息 流量 和 流向 等 参数 的 分 析 , 提 取 有 用 信息 ,例如 在 Internet 上 窃取 消费 者 的 银行 
账号 和 密码 等 。 电 子 商 务 中 的 信息 泄露 则 是 商业 机 密 的 泄露 。 

(2) 信息 被 自 改 /破坏 。 电 子 商 务 的 交易 信息 在 网 络 上 传输 的 过 程 中 ,攻击 者 可 能 会 通 
过 各 种 技术 手段 和 方法 对 信息 进行 修改 .删除 或 多 次 使 用 ; 由 于 网 络 的 硬件 或 软件 本 身 出 
现 问题 而 导致 交易 信息 丢失 或 错误 ， 网 络 系统 本 身 遭 到 一 些 恶意 程序 的 破坏 ,如 病毒 破坏 、 
黑客 入 侵 等 ,这 样 就 使 信息 被 自 改 或 破坏 ,失去 了 其 真实 性 和 完整 性 。 

(3) 身份 假冒 。 由 于 电子 商务 的 实现 需要 借助 于 虚拟 的 网 络 平台 ,而 在 这 个 交易 平台 
上 ,双方 是 不 需要 见面 的 ,所 以 就 带 来 了 交易 双方 身份 的 不 确定 性 。 如 果 没 有 进行 身份 认证 
而 进行 交易 ,攻击 者 就 可 以 通过 非法 手段 盗用 合法 用 户 的 身份 资料 ,假冒 合法 用 户 与 他 人 交 
易 ,或 发 送 虚 假 信息 ,从 而 获得 非法 利益 。 身 份 假冒 的 主要 表现 有 冒充 他 人 身份 .冒充 他 人 
消费 ,为 他 人 栽赃 、 使 用 欺诈 邮件 和 虚假 网 页 等 。 

(4) 交易 抵赖 。 电 子 商务 是 在 网 上 通过 电子 化 方式 进行 交易 的 ,这 就 容易 造成 交易 拭 
赖 。 交 易 抵赖 包括 诸如 发 信者 事后 否认 曾经 发 送 过 某 条 信息 、 收 信者 事后 否认 曾经 收 到 过 
某 方面 的 消息 ,或 是 购买 者 不 承认 自己 的 订货 单 ,商家 因 价格 差异 而 否认 原 有 的 交易 等 。 

(5) 其 他 安全 威胁 。 电 子 商务 的 安全 威胁 种 类 繁多 ,来 自 各 种 可 能 的 潜在 方面 ,有 蓄意 
而 为 的 ,也 有 无 意 造 成 的 。 同 时 电子 交易 也 衍生 了 一 系列 法 律 问题 ,如 网 络 交易 纠纷 的 促 
裁 、 网 络 交易 契约 的 签订 等 问题 。 还 有 诸如 操作 人 员 不 慎 泄 露 信息 .废弃 的 存储 媒体 导致 信 
息 泄露 等 均 可 对 网 上 交易 造成 不 同 程度 的 危害 。 


7.5.3 电子 商务 的 安全 对 策 


电子 商务 是 一 种 全 球 各 地 广泛 的 商业 贸易 活动 中 ,在 开放 的 网 络 环境 下 ,基于 浏览 器 / 
服务 器 应 用 方式 ,在 买卖 双方 不 谋面 的 情况 下 进行 的 各 种 商贸 活动 ,实现 消费 者 的 网 上 购 
物 ,商户 之 间 的 网 上 交易 和 在 线 电 子 支 付 以 及 各 种 商务 活动 .交易 活动 .金融 活动 和 相关 的 
综合 服务 活动 。 

1. 电子 商务 的 安全 要 素 

电子 商务 交易 的 安全 紧 紧 围绕 传统 商务 在 互联 网 上 应 用 时 产生 的 各 种 安全 问题 ,在 计 
算 机 网 络 安全 的 基础 上 ,实现 电子 商务 的 安全 要 素 , 即 信息 的 保密 性 、 完 整 性 ,身份 的 可 确定 
性 和 交易 的 不 可 否认 性 , 则 可 保障 电子 商务 过 程 的 顺利 进行 。 

(1) 保密 性 。 电 子 商 务 是 建立 在 一 个 较为 开放 的 网 络 环境 上 的 ,交易 中 的 商务 信息 均 
有 保密 的 要 求 ,维护 商业 机 密 是 电子 商务 全 面 推 广 应 用 的 重要 保障 ,因此 要 预防 非法 的 信息 
存 取 和 信息 在 传输 过 程 中 被 非法 窍 取 。 实 现 信息 保密 性 直接 有 效 的 方法 是 采用 数据 加 密 
手段 。 

(2) 完整 性 。 交 易 各 方 的 信息 和 文档 均 是 不 可 被 修改 的 ,否则 必然 会 损害 各 方 的 商业 
利益 。 数 据 和 输入 时 的 意外 差错 或 数据 传输 过 程 中 的 丢失 、 重 复 或 传送 次 序 变 化 或 攻击 者 的 
恶意 欺诈 等 , 均 可 能 导致 交 易 各 方 信息 和 文档 的 变化 。 因 此 要 防止 交易 过 程 中 交易 信息 和 
文档 的 丢失 或 改变 ,可 采取 加 密 和 数字 签名 技术 保证 信息 的 完整 性 。 

(3) 身份 的 可 确定 性 。 网 上 交易 的 各 方 很 可 能 素 昧 平生 ,相隔 千里 。 要 使 交易 成 功 , 必 
须要 能 确认 交易 各 方 身份 的 真实 性 、 合 法 性 。 因 此 准确 而 可 靠 地 确认 交易 各 方 的 真实 身份 
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是 交易 的 前 提 。 采 用 数字 签名 、 数 字 证 书 .CA 认证 等 方法 可 确定 交易 各 方 身份 的 真实 性 。 

(4) 不 可 否认 性 。 由 于 商情 的 千变万化 ,交易 一 旦 达成 是 不 能 被 否认 的 ,否则 必然 会 损 
害 一 方 的 利益 。 因 此 电子 交易 通信 过 程 的 各 个 环节 都 必须 是 不 可 否认 的 。 确 定 要 进行 交易 
的 各 方正 是 进行 交易 所 期 望 的 人 是 保证 电子 商务 顺利 进行 的 关键 ,这 就 要 求 在 交易 进行 时 ， 
交易 各 方 必须 附带 含有 自身 特征 、 无 法 由 别人 复制 的 信息 ,以 保证 交易 后 发 生 纠 纷 时 有 所 对 
证 。 同 时 ,还 要 保证 交易 各 方 不 能 对 交易 过 程 中 自己 所 做 的 事 予 以 否认 (抵赖 ), 对 出 现 否 认 
事件 时 要 有 充分 的 证 据 由 公正 的 第 三 方 做 出 正确 的 仲裁 。 采用 数字 签名 ,信息 摘要 ,数字 时 
间 戳 等 方法 可 保证 交易 方 的 假冒 行为 和 交易 事件 的 不 可 抵赖 性 。 

2. 电子 商务 安全 策略 

电子 商务 安全 是 保护 在 公开 网 络 上 进行 的 商务 活动 的 安全 , 即 在 网 络 安全 的 基础 上 , 保 
障 商 务 交 易 的 过 程 能 够 顺利 进行 ,实现 电子 商务 数据 的 保密 性 、 完 整 性 .信息 和 身份 的 可 认 
证 性 和 交易 的 不 可 抵赖 性 。 下 面 从 网 络 安全 防御 、 网 络 信任 体系 和 网 络 管理 及 法 规 建设 等 
方面 提出 相对 有 效 的 策略 ,以 此 保障 电子 商务 交易 的 安全 性 。 

1) 健全 网 络 安全 防御 体系 建设 ,创建 安全 的 交易 环境 

电子 商务 交易 面临 各 种 各 样 的 安全 挑战 ,采取 建立 健全 电子 商务 各 个 环节 的 安全 防御 
体系 ,减轻 或 化 解 电子 商务 交易 过 程 中 的 安全 风险 。 

(1) 为 了 保障 网 络 交易 的 安全 性 ,可 利用 防火 墙 自身 的 功能 性 ,对 内 、 外 网 络 实施 隔离 ， 
构建 安全 屏障 ; 

(2) 运用 代理 技术 形成 缓冲 ,借助 前 置 服务 器 ,分 担 电子 商务 的 交易 风险 ; 

(3) 运用 访问 控制 技术 阻挡 非法 用 户 访 问 ,同时 设置 严格 的 访问 权限 ; 

(4) 采取 VPN、SSL、SET 等 安全 技术 进行 电子 交易 ; 

(5) 借助 EDI 或 电子 支付 ,提高 网 络 交易 的 安全 性 ; 

(6) 利用 入 侵 检测 技术 和 安全 策略 ,降低 对 网 络 的 威胁 ; 

(7) 强化 网 络 拓 扑 结 构 , 改 进 网 络 协 议 , 降 低 网 络 交 易 被 恶意 攻击 的 风险 。 

2) 基于 密码 技术 实现 网 络 信任 体系 ,构建 主动 安全 的 防护 体系 

基于 密码 技术 ,系统 规划 和 建设 网 络 层面 的 网 络 信任 体系 ,加 强 互 联网 的 主动 安全 防护 
能 力 。 网 络 信任 体系 实现 的 核心 技术 是 密码 技术 (包括 对 称 密 钥 加 密 体制 和 公开 密 钥 加 密 
体制 ) ,采用 国家 商用 密码 管理 部 门 认可 的 密码 算法 ,实现 基于 加 密 技术 的 交易 信息 的 保密 
性 和 完整 性 ,以 及 对 交易 数据 的 加 密 传 输 和 加 密 存 储 , 从 而 极 大 地 降低 网 络 交易 信息 外 泄 和 
变化 的 风险 ,确保 数据 在 传输 过 程 中 的 机 密 性 和 完整 性 ; 实现 基于 认证 技术 的 身份 认证 和 
数字 签名 ,确保 电子 商务 交易 各 方 身份 的 真实 性 和 不 可 否认 性 。 网 络 信任 体系 的 实现 ,使 得 
参与 电子 商务 的 各 方 在 一 个 统一 安全 可 信 的 平台 上 开展 业务 ,从 而 从 系统 层面 上 保障 交易 
的 顺利 进行 。 

3) 完善 管理 和 制度 建设 ,强化 法 律 监督 

管理 和 技术 向 来 都 是 网 络 安全 问题 的 一 体 两 面 ,在 加 大 技术 手段 的 同时 ,必须 加 大 电子 
商务 交易 领域 的 管理 制度 和 法 律 法 规 的 建设 ,建立 良好 的 电子 商务 发 展 环境 ,并 确保 管理 制 
度 和 法 律 法 规 的 有 效 落实 和 监督 执行 。 

(1) 对 电子 商务 交易 的 参与 机 构 和 个 人 进行 统一 的 资源 管理 ,为 实名 化 的 电子 交易 奠 
定 可 信和 的 管理 基础 。 











(2) 实行 严格 的 认证 上 网 机 制 ,无 论 基于 何 种 行为 ,网 络 上 任何 动作 的 前 提 都 是 必须 要 
先 通过 网 络 信 任 体 系 的 统一 身份 认证 ,防止 匿名 攻击 、 伪 造 身份 等 现象 。 

(3) 实现 严格 的 授权 通行 和 访问 控制 机 制 ,所 有 交易 过 程 中 的 行为 ,必须 是 经 过 明确 授 
权 的 ,并 且 在 行为 的 实施 过 程 中 能 够 依法 依 规 鉴 权 ,从 而 杜绝 非法 访问 .未 授权 行为 的 出 现 。 

(4) 建立 全 网 行为 的 可 信 记 录 和 追溯 机 制 , 所 有 交易 过 程 中 的 行为 都 由 网 络 信任 体系 
进行 可 信 记 录 , 并 提供 事后 追溯 查询 和 认定 服务 ,确保 发 生 安 全 事件 后 ,能 够 追溯 到 具体 的 
行为 人 .行为 时 间 、 安 全 地 点 等 。 

(5) 要 求 网 络 系统 管理 员 要 充分 利用 各 种 先进 的 安全 技术 ,如 访问 控制 技术 、 防 火 墙 技 
术 安全 审计 技术 .系统 漏洞 扫描 技术 .入 侵 检测 技术 和 安全 管理 技术 ,在 用 户 病毒 .黑客 与 
系统 受 保护 的 资源 间 建 立 多 道 严密 的 安全 防线 ,加 强 无 意 或 恶意 攻击 的 难度 ,增加 审核 信息 
的 数量 等 措施 ,确保 电子 商务 交易 环境 的 安全 。 

(6) 加 强 对 电子 商务 参与 各 方 的 安全 教育 ,规范 参与 各 方 的 行为 。 要 求 参 与 机 构 承担 
起 保障 电子 商务 安全 的 主要 职责 ,要 求 用 户 必 须 提 高 自身 的 安全 防范 意识 和 风险 意识 ,从 根 
本 上 杜绝 可 能 出 现 的 安全 风险 。 

(7) 制订 与 电子 商务 安全 交易 相关 的 法 律 法 规 ,以 此 保护 电子 商务 交易 ,规范 交易 行 
为 ,为 电子 商务 提供 相对 安全 的 网 络 环境 。 

3. 电子 商务 的 安全 技术 

利用 密码 技术 及 其 衍生 技术 (如 数据 加 密 技 术 .数字 签名 .数字 证 书 .CA 认证 、 数 字 摘 
要 数字 时 间 戳 和 VPN 技术 等 ) 对 电子 商务 交易 过 程 中 的 交易 信息 和 交易 各 方 实施 加 密 和 
认证 管理 ,可 保证 交易 数据 的 保密 性 和 完整 性 ,保证 交易 各 方 身份 信息 的 保密 性 和 合法 性 ， 
保证 交易 各 方 对 其 所 作 所 为 不 能 否认 和 抵赖 。 

利用 网 络 实体 安全 技术 ,访问 控制 技术 、 防 火 墙 技 术 、 扫 描 和 监听 技术 、 入 侵 检测 技术 、 
防 病毒 技术 、 黑 客 跟踪 技术 、 安 全 审计 技术 等 网 络 安全 技术 在 网 络 系统 中 建立 多 道 安全 防 
线 , 检 测 并 发 现 非法 用 户 和 入 侵 者 (如 攻击 者 、 黑 客 、 病 毒 、 木 马 ) 的 各 种 行为 ,并 及 时 防范 和 
清除 其 影响 ,以 保护 电子 商务 的 交易 环境 和 资源 的 安全 ,保证 电子 商务 交易 的 顺利 进行 。 

电子 商务 的 发 展 无 可 限量 ,安全 问题 也 将 始终 与 之 相伴 ,为 进一步 促进 我 国电 子 商 务 的 
健康 有 序 发 展 ,必须 有 效 地 运用 技术 和 法 律 这 两 个 有 力 的 工具 ,去 解决 在 实际 应 用 中 出 现 的 
各 种 问题 ,为 我 国电 子 商 务 又 好 又 快 的 发 展 保驾 护航 。 


习题 和 思考 题 


“、 简 答题 

. 简 述 TCP/IP 协议 的 层次 结构 和 主要 协议 的 功能 。 

. 何 为 垃圾 邮件 ? 如 何 防范 垃圾 邮件 ? 

简 述 电子 邮件 的 安全 漏洞 。 

. 简 述 几 种 保护 电子 邮件 安全 的 措施 。 

. 简 述 ARP 协议 和 DNS 协议 的 作用 。 何 为 DNS 电子 欺骗 ? 何 为 IP 电子 欺骗 ? 
. 简 述 ARP 电子 欺骗 .DNS 电子 欺骗 和 IP 电子 欺骗 的 防范 措施 。 

. 简 述 Web 服务 器 、Web 浏览 器 的 安全 要 求 。 
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8. 何 为 虚拟 专用 网 (VPN)? VPN 采用 了 哪些 安全 措施 ? 

9. 简 述 VPN 的 功能 和 特点 。 

二 、 填空 题 

1. TCP/IP 协议 集 由 上 百 个 协议 组 成 .其 中 最 著名 的 协议 是 ( ) 协 议和 ( ) 协 议 。 

2. TCP/IP 协议 的 网 络 层 安 全 协议 可 用 来 在 Internet 上 建立 安全 的 ( ””) 通 道 和 (  ”)。 

3. TCP/IP 协议 的 应 用 层 提 供 对 每 个 应 用 (包括 应 用 协议 ) 进 行 ( ) 的 安全 服务 ,加 
入 新 的 安全 功能 。 

4. 已 实现 的 TCP/IP 应 用 层 安全 技术 有 ( ) .SEPP.( ) 和 S-HTTP 协议 等 。 

5. 实现 邮件 加 密 的 两 个 代表 性 的 软件 是 ( ) 和 ( 和 

6. DNS 协议 的 主要 功能 是 ( ) 。 

7. 避免 ARP 电子 欺骗 可 采用 ( ) 的 方法 。 


三 、 单 项 选择 题 
1. 以 下 ( ) 项 措施 可 预防 垃圾 邮件 。 

A. 加 密 邮 件 B. 隐藏 自己 的 邮件 地 址 

C. 采用 纯 文 本 格式 D. 拒绝 Cookie 信息 
2. 以 下 ( ) 项 是 VPN 的 功能 。 

A. 数据 加 密 B. 用 户 认证 C. 多 协议 支持 D. ABC 都 对 
3. 以 下 ( ) 项 不 是 VPN 的 特点 。 

A. 低 费用 B. 高 安全 性 C. 高 速率 D. 高 质量 
4. 下 列 ( ) 项 不 是 电子 邮件 的 安全 措施 。 

A. 利用 防火 墙 技术 B. 对 邮件 进行 加 密 

C. 利用 防 病毒 软件 D. 利用 TCP/IP 协议 


5. 由 于 IP 协议 提供 无 连接 的 服务 ,在 传送 过 程 中 若 发 生 差错 就 需要 ( ) 协 议 向 源 
结 点 报告 差错 情况 ,以 便 源 结 点 对 此 做 出 相应 的 处 理 。 


A. TCP B. UDP C. ICMP D. RARP 
6. TCP/IP 应 用 层 的 安全 协议 有 ( 让 
A. 安全 电子 交易 协议 (SET) B. 安全 电子 付费 协议 (SEPP) 


C. 安全 性 超 文 本 传输 协议 (S-HTTP) D. A、B.C 都 对 
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本 章 要 点 
。 无 线 网 络 的 协议 与 技术 ; 
。 无 线 网 络 安全 。 


无 线 技术 与 网 络 技 术 的 融合 提供 了 即时 通信 和 永久 在 线 的 可 能 性 ,其 发 展 前 景 也 是 很 
乐观 的 。 随 着 移动 电话 、 个 人 数字 助理 (PDA) 笔记本 电脑 等 各 种 便携 式 终端 的 迅速 发 展 ， 
为 移动 设备 提供 支撑 环境 、 采 用 无 线 链 路 实现 数据 通信 的 无 线 网 络 技术 也 得 到 了 快速 发 展 。 
无 线 网 络 在 为 用 户 提供 便利 的 同时 ,也 为 基于 无 线 链 路 和 智能 移动 终端 的 蓄意 破坏 、 算 改 、 
窃听 \ 假 冒 ,泄露 和 非法 访问 信息 资源 的 各 种 恶意 行为 提供 了 方便 。 无 线 网 络 比 有 线 网 络 存 
在 有 更 多 的 安全 隐患 和 威胁 。 信 息 安 全 保密 性 、 完 整 性 和 可 用 性 的 要 求 同 样 适用 于 无 线 网 
络 。 随 着 无 线 网 络 技术 的 发 展 ,其 安全 技术 也 得 到 发 展 ,无 线 网 络 安 全 标准 也 正在 逐步 得 到 


8.1 无 线 网 络 的 协议 与 技术 


无 线 通信 网 络 根 据 覆 盖 范 围 . 传 输 速率 及 应 用 领域 的 不 同 可 分 为 无 线 广域网 、 无 线 城 域 
网 .无 线 局 域 网 和 无 线 个 域 网 ,目前 技术 标准 较 成 熟 和 应 用 较 广 泛 的 是 无 线 广 域 网 和 无 线 局 
域 网 。 随 着 无 线 通信 技术 的 发 展 ,也 出 现 了 许多 无 线 通信 和 网络 标准 。 下 面 介绍 无 线 广 域 网 
和 无 线 局 域 网 常用 的 通信 技术 和 协议 。 


8.1.1 无 线 广域网 及 技术 标准 


无 线 广域网 (Wireless Wide Area Network, WWAN) 主 要 是 为 了 满足 超出 一 个 城市 范 
围 的 信息 交流 和 网 际 接 入 需求 ,让 用 户 可 以 与 在 遥远 地 方 的 公众 或 私人 网 络 建立 无 线 连接 。 
WWAN 技术 的 主要 用 途 是 连接 Internet 和 将 分 散在 城市 各 处 的 用 户 点 或 小 型 网 络 连 接 起 
来 。 可 使 常用 的 个 人 计算 机 或 其 他 设备 在 蜂窝 网 络 覆盖 范围 内 的 任何 地 方 连接 到 
Internet。 在 WWAN 的 通信 中 一 般 要 用 到 MMDS、LMDS、SST、GSM、GPRS、CDMA、3G、 
4G 等 固定 式 和 移动 式 无 线 传输 技术 。 

1. MMDS 

MMDS(Multichannel Multipoint Distribution Services, 多 信道 多 点 分 配 业 务 ) 是 一 种 
固定 式 无 线 技术 , 它 始 于 20 世纪 80 年 代 。MMDS 工作 于 2. 5 一 2.7GHz 频段 。 接 收 器 通 
常 是 全 方向 的 ,允许 从 各 个 方向 进行 连接 。 由 于 MMDS 工作 于 一 个 相对 低 的 频率 ,所 以 它 
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对 气象 条 件 有 一 定 的 抵抗 力 , 并 且 一 根 天 线 就 可 以 服务 很 大 的 范围 。 

MMDS 技术 开始 时 服务 于 无 线 电 视 用 户 。 在 发 展 初 期 ,FCC( 美 国联 邦 通信 委员 会 ) 分 
配 了 4 组 8 个 频道 ,这 意味 着 无 线 电缆 公司 只 能 向 其 用 户 发 送 4 个 频道 的 节目 。 因 为 在 电 
视 系统 中 ,频道 数 越 多 越 好 ,基于 MMDS 技术 的 电缆 公司 向 FCC 请 示 分 配 更 多 的 频道 , 因 
而 发 展 成 后 来 的 频率 分 发 技术 。 由 于 其 部 署 相对 便宜 ,很 多 公司 还 支持 MMDS 应 用 于 无 
线 系 统 。 一 个 安装 足够 高 的 单个 天 线 ,可 以 服务 很 大 的 区 域 。ISP(Internet 服务 供应 商 ) 将 
连接 接 人 Internet 之 前 可 以 通过 多 个 天 线路 由 连接 。 这 可 使 ISP 通过 设置 连接 多 个 天 线形 
成 骨干 连接 的 方式 以 节省 带宽 投资 。 

2. LMDS 

LMDS(Local Multipoint Distribution Services, 本 地 多 点 分 配 业 务 ) 也 是 一 种 固定 式 无 
线 技术 。LMDS 工作 于 28 一 31GHz 频段 ,其 服务 范围 比 MMDS 小 , 仅 支持 方圆 5 英里 
(1 英里 二 1609. 344 米 ) 的 通信 , 且 只 有 大 约 2. 5 英里 的 全 带宽 通信 能 力 。LMDS 比 MMDS 
更 易 受 天 气 和 其 他 干扰 的 影响 。 

LMDS 的 优势 在 于 它 部 署 的 单个 访问 天 线 的 价格 较 低 , 且 使 用 频率 较 高 ,可 允许 供应 
商 为 每 个 客户 提供 更 大 的 带宽 。LMDS 供应 商 可 提供 10Mb/s 的 下 载 速 率 和 2Mb/s 的 上 
传 速率 。 由 于 LMDS 服务 范围 的 限制 及 其 所 需 的 严格 线路 ,LMDS 适合 在 城市 或 商业 区 域 
部 署 。 

3. ST 

SST(Spread Spectrum Technology, 扩 展 频谱 技术 ) ,简称 扩 频 技术 ,是 一 种 宽带 无 线 电 
频率 (Radio Frequency ,RF) 技 术 。 在 发 送 端 ,SST 将 窗 频 固定 无 线 信号 转化 为 宽频 信号 输 
出 ; 在 接收 端 无 线 数 据 终 端 系统 C(WMTS) 接 收 宽频 信号 ,并 将 其 转变 为 窄 频 信号 并 对 信息 
进行 重组 。SST 采用 一 种 比 窗 带 传输 消耗 更 多 带宽 的 传输 模式 ,但 却 能 够 产生 更 强 . 更 能 
被 其 他 设备 接收 到 的 信号 。 因 此 ,SST 牺牲 了 带宽 , 却 带 来 安全 性 .信息 完 整 性 和 传输 可 靠 
性 方面 的 优势 。 

4. GSM 

GSM(Global System for Mobile Communications ,全 球 移动 通信 系统 ) 是 世界 上 主要 的 
蜂窝 系统 之 一 。20 世纪 80 年 代 ,GSM 开始 兴起 于 欧洲 ,到 20 世纪 末 已 经 在 100 多 个 国家 
和 地 区 实施 运营 ,到 2004 年 全 世界 180 多 个 国家 和 地 区 已 经 建立 了 540 多 个 GSM 通信 网 络 。 

GSM 基于 时 分 多 址 (TDMA) 制 式 ,允许 在 一 个 射频 同时 进行 8 组 通话 。GSM 系统 包 
括 GSM900MHz、GSM1800MHz 及 GSM1900MHz 等 几 个 频段 。GSM 系统 具有 通话 质量 
高 .稳定 性 强 ,不 易 受 外 界 干 扰 、 网 络 容量 大 、 信 息 灵敏 .设备 功 耗 低 等 重要 特点 ,因而 直到 现 
在 ,GSM 在 移动 通信 市 场 中 仍然 占有 相当 大 的 份额 。 

5. GPRS 

GPRS(General Packet Radio System ,通用 分 组 无 线 业 务 ) 是 欧洲 电信 协会 GSM 系统 
中 有 关 分 组 数据 的 标准 。GPRS 是 在 现 有 的 GSM 网 络 上 开通 的 一 种 新 的 分 组 数据 传输 技 
术 , 它 和 GSM 一 样 采用 TDMA 方式 传输 语音 ,但 是 采用 分 组 的 方式 传输 数据 。GPRS 提 
供 端 到 端的 、 广 域 的 无 线 IP 连接 及 高 达 115. 2Kb/s 的 空中 接口 传输 速率 。 

GPRS 是 分 组 交换 技术 .相对 于 原来 GSM 以 拨号 接 人 的 电路 数据 传送 方式 ,具有 实时 
在 线 .高速 传输 .流量 计 费 和 自如 切换 等 优点 ,能 全 面 提升 移动 数据 传输 与 语音 传输 服务 。 





因而 ,GPRS 技术 广泛 应 用 于 多 媒体 .交通 工具 的 定位 .电子 商务 .智能 数据 和 语音 、 基 于 网 
络 的 多 用 户 游戏 等 领域 。 

6. CDMA 

CDMA(Code Division Multiple Access, 码 分 多 址 ) 是 在 SST 上 发 展 起 来 的 ,由 扩 频 、 多 
址 接 入 、 蜂 窝 组 网 和 频率 复 用 等 几 种 技术 结合 形成 的 一 种 无 线 通 信 技 术 。CDMA 采用 码 分 
复 用 技术 使 所 有 移动 用 户 都 占用 相同 的 带宽 和 频率 ,通过 复 用 方式 使 得 频谱 利用 率 很 高 。 

CDMA 采用 软 切 换 技术 ,可 完全 克服 硬 切换 容易 掉 话 的 缺点 ; CDMA 采用 功率 控制 和 
可 变速 率 声 码 器 ,使 CDMA 无 线 发 射 功 耗 低 及 语音 质量 好 。 

CDMA 具有 频谱 利用 率 高 , 抗 干 扰 性 好 、 抗 信号 路 径 衰 落 能 力 强 、 语 音质 量 好 ,保密 性 
强 、 掉 话 率 低 . 电 磁 辐 射 小 、 系 统 容量 大 、 和 覆盖 广 等 优点 ,被 越 来 越 多 的 用 户 所 接受 ,使 得 
CDMA 在 近 些 年 发 展 迅 速 。 目 前 CDMA 在 美国 ,东亚 等 国家 和 地 区 都 占有 很 大 一 部 分 的 
市 场 份额 。 

7. 3G 

3G(Third Generation) 是 国际 电信 联盟 (ITU) 于 2000 年 确定 的 第 三 代 移 动 通信 系统 ， 
其 技术 基础 是 CDMA。3G 是 第 一 个 将 宽带 数据 通信 和 语音 通信 放 到 同等 位 置 的 无 线 蜂窝 
技术 。3G 的 设计 目标 是 在 与 已 有 的 第 二 代 移 动 通信 系统 (2G) 的 良好 兼容 性 的 基础 上 , 提 
供 更 大 的 系统 容量 和 更 好 的 通信 质量 .而且 要 能 在 全 球 范围 内 更 好 地 实现 无 缝 漫游 和 为 用 
户 提供 包括 语音 ,数据 及 多 媒体 等 在 内 的 多 种 业务 。 

目前 推荐 的 3G 主流 技术 标准 有 三 种 ,分 别 为 WCDMA、CDMA2000 和 TD-SCDMA。 
它们 虽然 是 三 个 不 同 的 标准 ,但 三 种 系统 所 使 用 的 无 线 核心 频段 都 在 2000MHz 左右 。 

WCDMA 是 一 种 基于 GSM MAP 核心 网 ,利用 CDMA 实现 的 宽带 扩 频 的 3G 系统 , 支 
持 WCDMA 的 厂商 有 爱立信 .诺基亚 和 一 些 日 本 厂商 。 

CDMA2000 是 由 窄带 CDMA 技术 发 展 而 来 的 宽带 CDMA 技术 标准 , 它 是 由 美国 主推 
的 宽带 CDMA 技术 标准 ,目前 中 国联 通 就 是 采用 这 一 方案 并 已 建成 了 CDMA 网 络 。 

TD-SCDMA 是 由 中 国 提出 、 以 中 国 知识 产权 为 主 \ 被 国际 上 广泛 接受 和 认可 的 3G 标 
准 , 大 唐 、 华 为 .中 兴 等 国内 的 著名 公司 和 全 球 一 半 以 上 的 设备 商都 宣布 可 支持 该 标准 。 

8. 4G 

4G(Fourth Generation) 即 第 四 代 移 动 通信 系统 ,是 集 3G 与 无 线 局 域 网 于 一 体 并 能 够 
传输 高 质量 视频 图 像 且 图 像 传 输 质量 可 比拟 高 清晰 度 电视 的 技术 产品 。4G 可 以 在 不 同 的 
无 线 平台 和 跨越 不 同 频 带 的 网 络 中 提供 令 几 乎 所 有 用 户 都 满意 的 无 线 服务 ,可 以 在 任何 地 
方 用 宽带 接 入 互联 网 (包括 卫星 通信 ), 具 有 定位 定时 、 数 据 采 集 、 远 程控 制 等 综合 功能 。 
2012 年 1 月 中 国 具 有 自主 知识 产权 的 通信 标准 TD-LTE 正式 成 为 4G 国际 标准 。 

4G 的 关键 技术 主要 有 正 交 频 分 复 用 (OFDM) 技 术 、 空 分 多 址 (SDMA) 技 术 和 MIMO 
技术 。OFDM 技术 具有 频谱 利用 率 高 . 抗 衰 落 能 力 强 、 适 合 高 速 数 据 传 输 、 抗 码 间 干 扰 (ISD 
能 力 强 等 优点 。SDMA 技术 利用 信号 在 传输 方向 上 的 差别 ,将 同 频 率 或 同时 际 、 同 码 道 的 
信号 进行 区 分 ,动态 改变 信号 的 覆盖 区 域 ,将 主 波束 对 准 用 户 方向 , 旁 尖 对 准 干 扰 信 和 号 方向 ， 
为 每 个 用 户 提 供 优质 信号 ,可 充分 利用 移动 用 户 信 号 并 消除 或 抑制 干扰 信号 。MIMO 技术 
是 利用 多 发 射 .多 接收 天 线 进行 空间 分 集 的 技术 , 它 采 用 分 立 式 多 天 线 , 能 有 效 地 将 通信 和 链 
路 分 解 成 许多 并 行 的 子 信道 ,从 而 大 大 提高 容量 。 
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9. 5G 

在 4G 技术 刚刚 走向 商用 ,全 球 4G 建设 方兴未艾 之 时 ,5G(Fifth Generation) 的 研发 工 
作 已 经 如 火 如 茶 。5G 即 第 五 代 移动 通信 系统 ,也 是 4G 的 延伸 ,目前 还 没有 在 任何 电信 公 
司 或 标准 订立 组 织 的 公开 规格 或 官方 文件 中 提 到 5G。 与 4G、3G 等 不 同 的 是 ,5G 并 不 是 独 
立 的 ,全 新 的 无 线 接 入 技术 ,而 是 对 现 有 无 线 接 入 技术 (如 3G、4G 和 WiFi) 的 演进 ,以 及 一 
些 新 增 的 补充 性 无 线 接 和 技术 集成 后 解决 方案 的 总 称 。 从 某 种 程度 上 讲 ,5G 将 是 一 个 真正 
意义 上 的 融合 网 络 。 以 融合 和 统一 的 标准 ,提供 人 与 人 、 人 与 物 以 及 物 与 物 之 间 高 速 . 安 全 
和 自由 的 联通 。 

2013 年 2 月 欧盟 宣布 拨款 5000 万 欧元 ,加 快 5G 移动 技术 的 发 展 ,计划 到 2020 年 推出 
成 熟 的 标准 ; 2013 年 5 月 韩国 三 星 电子 宣布 ,已 率先 开发 出 基于 5G 核心 技术 的 移动 传输 
网 络 , 预 计 2020 年 开始 推 向 商业 化 ; 日 本 运营 商 NTT 于 2013 年 10 月 表示 , 正 考 虑 在 2020 
年 东京 奥运 会 前 使 用 5G; 作为 全 球 知名 的 电信 服务 及 设备 提供 商 , 我 国 的 华为 公司 在 2014 
年 11 月 宣布 ,已 在 英国 等 地 为 5G 投入 200 多 位 研发 人 员 ,并 在 未 来 5 年 内 为 此 继续 投资 
6 亿美 元 ,华为 预计 首 个 5G 商用 网 络 将 于 2020 年 面世 ,届时 移动 宽带 用 户 峰值 速率 将 超过 
10Gb/s。 国 际 电信 联盟 (ITU) 于 2015 年 6 月 公布 5G 技术 标准 化 的 时 间 表 ,5G 技术 的 正 
式 名 称 是 IMT-2020 ,将 在 2020 年 完成 5G 标准 的 制定 。2016 年 1 月 工信部 宣布 我 国 已 于 
2016 年 年 初 正 式 启 动 了 5G 研发 技术 试验 ,搭建 开放 的 研发 试验 平台 ,为 中 国 2020 年 启动 
5G 商用 商定 基础 。 由 此 看 来 ,2020 年 将 会 是 5G 服务 的 关键 年 份 ,因为 这 正 是 全 球 许多 电 
信 商 希望 能 够 发 布 5G 服务 的 时 间 点 。 

5G 系统 的 研发 将 面向 2020 年 移动 通信 的 需求 ,包含 体系 架构 、 无 线 组 网 、 无 线 传输 、 新 
型 天 线 与 射频 以 及 新 频谱 开发 与 利用 等 关键 技术 。 对 于 普通 用 户 来 说 ,5G 带 来 的 最 直观 的 
感受 将 是 网 速 的 极 大 提升 。 目 前 4G-LTE 的 峰值 传输 速率 已 达到 100Mb/s, 而 5G 的 峰值 
速率 将 达到 10Gb/s, 这 意味 着 用 户 可 以 几乎 不 受 任何 限制 地 传输 大 量 的 数据 文件 ,瞬间 下 
载 一 部 电影 ,在 线 视频 .3D 电影 和 游戏 等 高 带宽 的 应 用 也 将 流畅 无 阻 。 当 用 户 以 任何 方式 
接 入 移动 网 络 、 读 取 任 何 数据 时 都 不 需要 等 待 网 络 。 

以 5G 为 基础 的 移动 宽带 网 络 的 未 来 发 展 方向 是 ,打造 “移动 智能 终端 十 宽带 十 云 ” 这 
样 的 一 个 平台 ,与 其 他 的 能 源 和 公共 事业 一 样 ,其 将 成 为 整个 社会 和 各 个 行业 赖 以 运转 的 基 
础 。 届 时 ,利用 5G 技术 构建 的 超 高 速 、 超 高 容量 、 超 可 靠 性 、 超 短 时 延 、 绝 佳 用 户 体验 的 移 
动 宽带 网 络 , 将 得 以 让 各 个 产业 的 信息 和 数据 在 不 同 的 平台 上 自由 流动 。 未 来 的 5G 将 为 
人 们 的 日 党 学习, 工作 和 生活 的 方方面面 带 来 更 好 的 转变 ,让 移动 医疗 ,智慧 城 市 .无 线 支 
付 移 动 办 公 、 智 能 家 居 、 车 联网 (智能 汽车 )、 无 人 驾驶 .位 置 服务 等 现在 已 经 发 展 的 技术 变 
得 更 为 可 靠 。 预 估 5G 高 速 与 稳定 的 无 线 通 信 , 会 带 来 更 优秀 的 内 容 , 从 语音 、 实 况 , 到 车 联 
网 甚至 物 联网 ,许多 原本 在 4G 时 代 受 限于 速度 ,稳定 性 的 服务 与 应 用 ,都 将 在 5G 时 代 大 施 
拳脚 。 对 于 一 般 使 用 者 而 言 ,一 直 被 认为 发 展 不 够 迅速 的 车 联网 、 物 联网 .智慧 城市 等 愿景 ， 
都 有 可 能 随 着 5G 的 普及 加 快 实现 的 脚步 。 


8.1.2 无 线 局 域 网 及 技术 标准 


无 线 局 域 网 (WLAN) 是 利用 无 线 通信 技术 和 设施 在 一 定 的 范围 内 建立 起 来 的 网 络 ,是 
计算 机 网 络 与 无 线 通信 技术 相 结 合 的 产物 . 它 以 无 线 多 址 信道 作为 传输 媒介 ,提供 传统 有 线 


局 域 网 (LAN) 的 功能 ,能 够 使 用 户 真正 实现 随时 、 随 地 、 随 意 的 宽带 网 络 接 入 。 

作为 企业 网 络 的 一 部 分 , WLAN 越 来 越 受 到 人 们 的 关注 。 利 用 WLAN, 用 户 可 以 在 建 
筑 物 内 或 大 学 校园 里 的 任何 地 方 自由 地 使 用 PDA 和 手机 上 网 。 

IEEE 802. 11 系列 标准 是 IEEE 制订 的 无 线 局 域 网 标准 ,主要 对 网 络 的 物理 层 和 介质 
访问 控制 层 进行 规定 ,其 中 重点 是 对 介质 访问 控制 层 的 规定 。 

下 面 对 IEEE 已 经 制订 且 涉 及 物理 层 的 四 种 IEEE 802. 11 系列 标准 (IEEE 802. 11、 
IEEE 802. 11a IEEE 802. 11b 和 IEEE 802. 11g) 进 行 简单 介绍 。 

1. IEEE 802.11 

IEEE 802. 11 是 IEEE 802 工作 组 于 1997 年 制定 的 一 个 无 线 局 域 网 标准 ,适用 于 有 线 
站 台 与 无 线 用 户 或 无 线 用 户 之 间 的 沟通 连接 ,主要 用 于 解决 办 公 室 局 域 网 和 校园 网 中 ,用 户 
与 用 户 终端 的 无 线 接 人 问题 ,业务 主要 限于 数据 存 取 , 速 率 最 高 只 能 达到 2Mb/s。IEEE 
802. 11 定义 了 MAC 层 和 物理 层 。 物 理 层 定义 了 工作 在 2. 4GHz 的 ISM 频段 上 的 两 种 展 
频 作 调 频 方 式 和 一 种 红外 传输 的 方式 ,总 数据 传输 速率 设计 为 2Mb/s。 

由 于 IEEE 802. 11 在 速率 和 传输 距离 上 都 不 能 满足 人 们 的 需要 ,因此 ,IEEE 工作 组 在 
1999 年 又 相继 推出 了 IEEE 802. 11b 和 IEEE 802. 11a 两 个 新 标准 。IEEE 802. 11a 定义 了 
一 个 在 5GHz 的 ISM 频段 上 的 数据 传输 速率 可 达 54Mb/s 的 物理 层 ; IEEE 802. 11b 定义 
了 一 个 在 2. 4GHz 的 ISM 频段 上 数据 传输 速率 达 11Mb/s 的 物理 层 。 因 为 2. 4GHz 的 
ISM 频段 为 世界 上 绝 大 多 数 国 家 和 地 区 所 通用 ,因此 IEEE 802. 11b 得 到 了 广泛 的 应 用 。 

2. IEEE 802. 11a 和 IEEE 802. 11b 

IEEE 802. 11a 工作 于 5GHz 频段 ,其 物理 层 速率 可 达 54Mb/s, 传 输 层 可 达 25Mb/s。 
IEEE 802. 11a 的 物理 层 工作 在 红外 线 频段 ,波长 为 850 一 950nm', 信 号 传输 距离 约 为 10m。 
IEEE 802. 11a 采用 OFDM 的 独特 扩 频 技术 ,并 提供 25Mbys 的 无 线 ATM 接口 和 10Mb/s 
的 以 太 网 无 线 帧 结构 接口 ,支持 语音 ,数据 \ 图 像 业 务 。IEEE 802. 11a 使 用 OFDM 技术 来 
增 大 传输 范围 ,采用 数据 加 密 可 达 152 位 的 WEP。 

IEEE 802. 11b 是 目前 应 用 较为 广泛 的 无 线 标准 , 它 工作 于 2. 4GHz 频段 ,物理 层 支持 
5.5Mb/s 和 11Mb/s 两 个 速率 。IEEE 802. 11b 采用 了 DSSS 技术 ,并 提供 数据 加 密 , 使 用 
的 是 高 达 128 位 的 WEP。IEEE 802. 11b 的 技术 成 熟 ,使 得 基于 该 标准 网 络 产品 的 成 本 大 
为 降低 ,无 论 是 家 庭 还 是 公司 企业 用 户 , 无 须 太 多 的 资金 投入 即 可 组 建 一 套 完 整 的 无 线 局 域 
网 。 当 然 ,IEEE 802. 11b 并 不 是 完美 的 ,其 也 有 不 足 之 处 ,IEEE 802. 11b 最 高 11Mb/s 的 
传输 速率 并 不 能 很 好 地 满足 用 户 高 数据 传输 速率 的 需要 ,因而 在 要 求 高 宽带 时 ,其 应 用 也 受 
到 限制 , 且 它 与 工作 在 5GHz 频率 上 的 IEEE 802. 11a 标准 不 兼容 。 

3. IEEE 802. 11g 

IEEE 802. 11g 是 对 IEEE 802. 11b 的 一 种 高 速 物理 层 扩展 , 它 也 工作 于 2. 4GHz 频段 ， 
物理 层 采用 了 OFDM 技术 ,传输 速率 最 高 可 达 54Mb/s。IEEE 802. 11g 除了 具备 高 数据 传 
输 速 率 及 兼容 性 的 优势 外 ,其 信号 训 减 程度 也 比 IEEE 802. 11a 轻 , 且 还 具备 更 优秀 的 穿 透 
能 力 ,能 在 复杂 的 环境 中 具有 很 好 的 通信 效果 。 由 于 IEEE 802. 11g 的 工作 频段 与 IEEE 
802. 11b 一 致 ,因此 其 与 IEEE 802. 11b 技术 产品 的 兼容 性 问题 得 到 了 很 好 的 解决 。 

IEEE 802. 11g 的 出 现 为 无 线 传感器 网 络 市 场 增加 了 一 种 通信 技术 选择 。 但 因 IEEE 
802. 11g 的 工作 频段 是 2. 4GHz, 因 此 极 易 受到 来 自 微波 、 无 线 电 话 等 设备 的 干扰 。 
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4. IEEE 系列 标准 

除 上 述 介 绍 的 几 种 标准 外 ,IEEE 系列 的 标准 还 有 很 多 ,有 些 已 经 推出 多 年 且 已 被 广泛 
应 用 ,有 些 刚 被 推出 仍 在 修改 完善 中 ,有 些 还 在 规划 中 。 其 中 ,每 个 标准 都 有 其 自身 的 优势 
和 缺点 。 下 面 简单 列 出 IEEE 802. 11 系列 标准 、 推 出 年 份 及 简单 说 明 。 

IEEE 802. 11,1997 年 ,原始 标准 (2Mb/s, 工 作 在 2. 4GHz 频段 ) 。 

IEEE 802. 11a,1999 年 ,物理 层 补充 (54Mb/s, 工 作 在 5GHz 频段 ) 。 

IEEE 802. 11b,1999 年 ,物理 层 补充 (11Mb/s, 工 作 在 2. 4GHz 频段 )。 它 有 时 会 被 误 
认为 是 WiFi, 实 际 上 WiFi 是 WiFi 联盟 的 一 个 商标 ,与 标准 本 身 实际 上 没有 关系 。 

IEEE 802. 11c, 符 合 IEEE 802. 11d 的 MAC 层 桥 接 。 


IEEE 802. 11d, 根 据 各 国 无 线 电 规定 做 的 调整 。 

IEEE 802. 11e, 对 QoS 技术 的 支持 。 

IEEE 802. 11f, 基 站 的 互 连 性 。 

IEEE 802. 11g,2003 年 ,物理 层 补 充 (54Mb/s, 工 作 在 2. 4GHz 频段 ) 。 

IEEE 802. 11h,2004 年 ,无 线 覆 盖 半 径 的 调整 ,室内 和 室外 信道 (工作 在 5GHz 频段 )。 
IEEE 802. 11i,2004 年 ,无线 网 络 的 安全 方面 的 补充 。 


IEEE 802. 11k ,无线 局 域 网 络 频谱 测量 规范 。 

IEEE 802. 111, 预 留 及 准备 不 使 用 。 

IEEE 802. 11m, 维 护 标 准 , 互 斥 及 极限 。 

IEEE 802. 11n, 更 高 传输 速率 的 改善 ,支持 多 输入 多 输出 (MIMO) 技 术 。 

IEEE 802. 110, 针 对 语音 服务 制订 。 

IEEE 802. 11p, 车 用 无 线 通信 ,符合 智能 型 运输 系统 的 相关 应 用 。 

还 有 IEEE q 一 z、IEEE aa~ae 等 都 在 相关 组 织 的 修订 或 计划 中 ,如 极 大 吞吐 量 标准 
IEEE 802. 11ac 和 IEEE 802. 11ad 在 修订 中 (IEEE 802. llac 是 IEEE 802. 11n 的 继承 者 ， 
它 通过 5GHz 频带 进行 通信 。 理 论 上 它 能 够 提供 最 多 1Gb/s 带宽 进行 多 站 式 无 线 局 域 网 
通信 ,或 最 少 500Mb/s 的 单一 连接 传输 带宽 ) 。 


8.2 无 线 网 络 安全 


8.2.1 无 线 网 络 的 不 安全 因素 与 威胁 


无 线 网 络 传 输 媒 体 的 开放 性 、 网 络 中 应 用 终端 的 移动 性 、 网 络 拓 扑 的 动态 性 等 都 增加 了 
无 线 网 络 安全 的 风险 。 一 般 而 言 ,由 电信 等 ISP 部 署 的 较 大 的 无 线 网 络 ,其 安全 机 制 较为 完 
善 , 而 中 小 规模 的 无 线 网 络 则 可 能 由 于 技术 水 平安 全 意识 硬件 设备 投入 等 因素 影响 而 使 
其 安全 性 较 低 。 

1. 无 线 网 络 存 在 的 不 安全 因素 

(1) 窃听 .截取 和 次 用。 窃听 是 指 偷 听 流 经 网 络 的 未 使 用 加 密 认证 的 通信 内 容 , 并 通过 
终端 获得 有 用 的 信息 ,或 通过 工具 软件 监听 、 截 取 并 分 析 通 信和 信息 ,以 破解 已 加 密 信息 的 密 
钥 得 到 明文 。 用 户 在 运用 无 线 网 络 进行 信息 传输 的 过 程 中 ,也 会 遭受 非法 用 户 的 窃取 和 次 
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用 ,常常 造成 用 户 之 间 的 信息 被 破坏 或 盗 取 :对 用 户 的 日 党 工作. 生活 造成 不 良 影响 。 

(2) 网 络 隐蔽 性 差 。 无 线 网 络 运用 射频 技术 连接 网 络 ,通过 一 定 频率 范围 的 无 线 电波 
传输 数据 ,在 信号 范围 内 黑客 可 能 凭借 一 台 接 受 设备 (如 配 有 无 线 网 卡 的 计算 机 ) 便 可 轻易 
接 入 无 线 网 。 

(3) 链 路 泄密 问题 。 链 路 泄密 主要 是 黑客 或 某 些 非 法 组 织 通过 对 无 线 网 络 的 非法 接 
入 ,或 通过 钓鱼 软件 等 途径 盗 取 客 户 重要 信息 (如 银行 卡号 、 网 站 账号 和 密码 等 ) ,而 其 中 涉 
及 用 户 切 身 利益 的 信息 。 这 些 信息 被 盗 取 之 后 ,将 会 给 用 户 造成 不 同 程度 的 损失 。 另 外 , 黑 
客 还 会 通过 非法 操作 给 用 户 造成 其 他 方面 的 损害 ,由 此 可 见 , 链 路 泄密 对 无 线 网 络 安全 造成 
的 影响 较 大 。 

(4) 数据 安全 问题 。 由 于 无 线 网 络 操作 方便 , 且 信 号 具有 开放 性 ,能 够 有 效 地 突破 传统 
有 线 网 络 的 时 间 及 空间 的 限制 ,因此 就 会 给 一 些 攻击 者 创造 大 量 的 恶意 入 侵 的 机 会 。 非 法 
用 户 能 够 通过 一 些 辅 助 工 具 对 网 络 设置 的 密码 进行 破解 ,最 终 达 到 冒 用 用 户 合法 身份 的 
目的 。 

(5) 防范 意识 差 。 很 多 无 线 网 络 用 户 都 未 设置 安全 机 制 或 仅 设置 较为 简易 的 密码 ,这 
一 现象 多 见于 家 庭 用 户 。 这 就 为 他 人 的 非法 入 侵 提 供 了 条 件 , 埋 下 重大 安全 隐患 。 

2. 无 线 网 络 面临 的 安全 威胁 

无 线 网 络 与 有 线 网 络 相 比 只 是 在 传输 方式 上 有 所 不 同 ,所 有 传统 有 线 网 络 存在 的 安全 
威胁 在 无 线 网 络 中 也 存在 。 无 线 网 络 一 般 受 到 的 攻击 可 分 为 两 类 .: 一 类 是 关于 网 络 访问 控 
制 、 数 据 机 密 性 保护 和 数据 完整 性 保护 的 攻击 ; 另 一 类 是 基于 无 线 通信 网 络 设计 、 部 署 和 维 
护 方式 的 攻击 。 前 者 在 有 线 网 络 的 环境 下 也 会 发 生 , 无 线 网 络 的 安全 性 是 在 传统 有 线 网 络 
的 基础 上 增加 了 新 的 安全 性 威胁 。 总 体 来 说 ,无 线 网 络 所 面临 的 威胁 主要 表现 下 在 以 下 几 
个 方面 。 

(1) 插入 攻击 。 插 入 攻击 以 部 署 非 授权 的 设备 或 创建 新 的 无 线 网 络 为 基础 ,这 种 部 署 
或 创建 往往 没有 经 过 安全 过 程 或 安全 检查 。 可 对 接 和 点 进行 配置 ,要 求 客户 端 接 人 时 输入 
口令 。 如 果 没 有 口令 ,人 侵 者 就 可 以 通过 启用 一 个 无 线 客 户 端 与 接 人 点 通信 ,从 而 连接 到 内 
部 网 络 。 有 些 接 人 点 要 求 的 所 有 客户 端的 访问 口令 竟 完 全 相同 ,这 是 很 危险 的 。 

(2) 漫游 攻击 。 攻 击 者 可 使 用 网 络 扫描 器 (如 Netstumbler 侦 测 软件 ) 进行 攻击 ,可 以 
在 交通 工具 上 用 笔记 本 电脑 或 其 他 移动 设备 扫描 无 线 网 络 , 这 种 活动 称 为 wardriving; 走 
在 大 街 上 或 通过 企业 网 站 执行 同样 的 任务 , 称 为 warwalking。 

(3) 窃取 资源 。 有 些 用 户 喜 欢 利 用 邻近 的 无 线 网 络 访问 互联 网 (如 足 邻 居 的 WiFi) , 即 
使 没有 什么 恶意 企图 ,但 仍 会 占用 大 量 的 网 络 带 宽 , 严 重 影响 网 络 性 能 。 而 更 多 的 不 速 之 客 
会 利用 这 种 连接 从 公司 内 发 送 邮 件 或 下 载 盗版 内 容 ,这 也 会 产生 一 些 法 律 问题 。 

(4) 无 线 截获 。 通 过 无 线 网 络 截获 和 监视 通信 内 容 是 完全 可 能 的 ,如 无 线 数据 包 捕 获 
和 分 析 , 并 可 用 所 捕获 的 信息 来 冒充 合法 用 户 ,劫持 用 户 会 话 和 执行 一 些 非 授 权 的 命令 等 。 

(5) 拦截 数据 。 黑 客 通过 WiFi 拦截 数据 的 现象 已 经 日 益 普 遍 。 虽 然 目 前 所 有 支持 
WiFi 认证 的 产品 均 支持 AES-CCMP 数据 加 密 协议 .但 仍 存在 一 些 早期 产品 还 在 被 用 户 使 
用 ,这 些 产 品 仅仅 支持 存在 安全 漏洞 的 TKIP, 很 容易 被 网 络 黑客 盗 取信 号。 

(6) 拒绝 服务 。 无 线 网 络 很 容易 遭受 DoS 攻击 。 随 着 越 来 越 多 的 用 户 使 用 IEEE 802. 11n 
标准 ,从 而 可 减少 DoS 攻击 发 生 , 但 仍 会 有 一 些 DoS 攻击 现象 存在 。 在 这 类 攻击 中 攻击 者 
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恶意 占用 主机 或 网 络 资源 ,或 是 利用 同 频 信号 干扰 无 线 信 道 工作 ,从 而 造成 用 户 无 法 正常 使 
用 网 络 。 目 前 的 产品 已 经 支持 IEEE 802. 11w, 即 可 很 好 地 避免 这 一 现象 的 发 生 。 

(7) 非 授权 访问 。 无 线 网 络 的 开放 性 身份 验证 只 需 提供 SSID 或 正确 的 WEP 密 钥 ,这 
很 容易 受到 黑客 攻击 。 而 共享 机 密 身份 验证 的 “口令 一 响应 ”过 程 则 是 通过 明文 传送 的 , 故 
密 钥 极 易 被 破解 。 此 外 ,由 于 IEEE 802. 1x 身份 验证 只 是 服务 器 对 用 户 进行 验证 , 故 容易 
但 到 “中 间 人 ” 穷 取 验证 信息 从 而 非法 访问 网 络 。 非 授权 访问 常见 于 部 分 用 户 对 无 线 网 络 的 
安全 防护 等 级 设置 得 较 低 ,或 根本 没有 设置 防护 屏障 ,导致 其 他 用 户 未 经 授权 即 可 接 人 无 线 
网 络 。 

(8) 非法 接 入 点 和 非 授权 用 户 入 网 。 公 共 电 磁 波 是 无 线 网 络 传播 的 载体 , 而 电磁 波 能 
够 穿越 玻璃 .墙壁 天花板 等 物体 ,因此 在 一 个 无 线 接 和 人 点 (简称 无 线 AP) 所 覆盖 的 区 域 中 ， 
包括 未 授权 的 客户 端 都 可 以 接收 到 AP 的 电磁 波 信号 。 未 授权 用 户 非法 获取 SSID 后 将 其 
修改 为 正确 的 SSID, 就 可 以 接 人 无 线 网 络 了 ; 如 果 AP 实现 MAC 地 址 过 滤 方 式 的 访问 控 
制 方式 ,入 侵 者 可 先 通过 窃听 获取 授权 用 户 的 MAC 地 址 ,然后 修改 自己 计算 机 的 MAC 地 
址 ,从 而 冒充 合法 终端 访问 无 线 网 络 。 


8.2.2 无 线 蜂 离 网 络 的 安全 性 


蜂窝 网 络 (Cellular network) 也 称 移动 网 络 ,是 一 种 移动 通信 硬件 架构 。 它 把 移动 通信 
的 服务 区 分 为 一 个 个 正六 边 形 的 小 子 区 ,每 个 小 区 设 一 个 基站 ,形成 了 形状 酷似 "蜂窝 "的 结 
构 ,因而 把 这 种 移动 通信 称 为 蜂窝 移动 通信 。 常 见 的 蜂窝 网 络 类 型 有 GSM 网 络 .CDMA 网 
络 .3G 网 络 `.AMPS( 高 级 移动 电话 系统 ) 等 。 蜂 窝 网 络 的 组 成 主要 有 移动 站 、 基 站 子 系统 和 
网 络 子 系统 三 部 分 。 移 动 站 就 是 网 络 终端 设备 ,如 手机 、 笔 记 本 电脑 等 。 基 站 子 系统 包括 移 
动 基站 (大 铁塔 ) 无线 收发 设备 .专用 网 络 .无 线 数字 设备 等 , 它 可 以 看 作 是 无 线 网 络 与 有 线 
网 络 之 间 的 转换 器 。 

1. GSM 的 安全 性 

GSM 网 络 体系 结构 如 图 8. 2. 1 所 示 , 由 带 有 SIM 卡 的 手机 、 基 站 收发 信号 台 (BTS)、 
基站 控制 器 (BSC) ,移动 交换 中 心 (MSC) 、 认 证 中 心 (AUC) .归属 位 置 登记 数据 库 CHLR)、 


访问 位 置 登 记 数 据 库 (VLR) 和 运营 中 心 (OMC) 等 部 分 组 成 。 
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图 8.2.1 GSM 网 络 体系 结构 


1) GSM 的 安全 性 概述 

GSM 的 安全 性 基于 对 称 密 钥 的 加 密 体系 。GSM 主要 使 用 了 A3、A5 和 A8 三 种 加 密 
算法 。A3 是 移动 设备 到 GSM 网 络 认证 的 算法 ,A5 是 认证 成 功 后 加 密语 音 和 数据 的 分 组 
加 密 算法 ,A8 是 产生 对 称 密 钥 的 密 钥 生成 算法 。 

GSM 安全 架构 中 的 第 一 步 是 认证 ,确认 一 个 用 户 和 他 的 移动 设备 是 授权 访问 GSM 网 
络 的 。 因 为 SIM 卡 和 移动 网 络 具 有 相同 的 加 密 算法 和 对 称 密 钥 ,它们 可 以 建立 信任 关系 。 
在 移动 设备 中 ,这 些 信息 存储 在 SIM 卡 中 。SIM 卡 中 的 信息 由 运营 商定 制 (包括 加 密 算法 、 
密 钥 .协议 等 ) ,通过 零售 商 分 发 到 用 户 手中 。 

根据 运营 商 提供 的 服务 内 容 , 单 个 用 户 还 可 以 在 SIM 卡 中 存储 电话 号 码 和 短 消息 。 
MSC 也 保存 着 A3、A5 和 A8 算法 的 副本 ,通常 是 存储 在 硬件 设备 中 。 

2) GSM 的 认证 过 程 

当 一 个 手机 开始 通话 时 ,GSM 网 络 的 VLR 会 立刻 与 HLR 建立 联系 ,HLR 从 AUC 获 
取 用 户 信息 。 这 些 信息 会 转发 到 VLR 上 ,VLR 认证 用 户 的 身份 ,其 认证 过 程 如 下 (如 图 8. 2. 2)。 

(1) 基站 产生 一 个 128 位 的 随机 数 或 询问 数 (RAND), 并 将 其 发 给 手机 。 

(2) 手机 使 用 A3 算法 和 密 钥 K; 将 RAND 加 密 , 产 生 一 个 32 位 的 签名 回应 (SRES)， 
同时 VLR 也 计算 出 一 个 SRES 值 。 

(3) 手机 将 SRES 传输 到 基站 ,基站 再 将 其 转发 到 VLR。 

(4) VLR 将 收 到 的 SRES 值 与 计算 出 的 SRES 值 进行 对 比 。 

(5) 如 果 与 SRES 值 相 符 , 则 认证 成 功 , 用 户 可 以 使 用 网 络 ; 否则 ,连接 终止 ,错误 信息 
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图 8.2.2 GSM 的 认证 过 程 


3) GSM 的 保密 性 

在 成 功 地 进行 认证 后 ,GSM 网 络 和 手机 会 完成 一 个 建立 加 密 信道 的 过 程 。 首 先 需 要 产 
生 一 个 加 密 密 钥 ,然后 该 加 密 密 钥 被 用 来 加 密 整 个 通信 过 程 。 

(1) SIM 卡 使 用 RAND, 与 Ki 结合 在 一 起 ,通过 A8 算法 生成 一 个 64 位 的 会 话 密 钥 (K.)。 

(2) GSM 网 络 也 计算 出 相同 的 会 话 密 钥 。 

(3) K. 与 A5 算法 结合 在 一 起 ,产生 手机 与 GSM 网 络 之 间 的 加 密 通信 数据 。 

2. CDMA 的 安全 性 

CDMA 网 络 的 安全 性 同样 也 建立 在 对 称 密 钥 体系 上 .其 网 络 架 构 与 GSM 大 臻 相同 。 

CDMA 手机 使 用 64 位 对 称 密 钥 ( 称 为 A-Key) 进 行 认证 。 购 买 手机 时 ,这 个 密 钥 被 程 
序 输入 至 手机 内 ,同时 也 由 运营 商 保存 。 手 机 内 的 软件 计算 出 一 个 校 验 值 ,确保 A-Key 正 
确 输入 。 

1) CDMA 认证 

当 用 手机 打 电 话 时 ,CDMA 网 络 的 VLR 会 对 用 户 进行 认证 。CDMA 网 络 使 用 一 种 称 
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为 蜂窝 认证 的 技术 和 语音 加 密 (CAVE) 的 算法 。 

为 了 减少 A-Key 被 截获 的 风险 ,CDMA 手机 采用 
一 种 基于 A-Key 的 动态 生成 数 来 进行 认证 。 该 生成 数 
称 为 共享 密 钥 (SSD) , 它 是 由 用 户 的 A-Key、 手 机 的 电 
子 序列 号 (ESN) 和 随机 数 RAND 三 个 数值 计算 出 来 
的 ,如 图 8.2.3 所 示 。 这 三 个 数值 通过 CAVE 算法 产 
生 一 个 杂凑 值 。 该 CAVE 操作 会 生成 SSD_A 和 SSD_B 
两 个 64 位 值 。SSD_A 等 同 于 GSM 的 SRES, 用 于 认 图 8.2.3 CAVE 算 法 
证 ; SSD_B 等 同 于 GSM 的 K., 用 于 加 密 。 

当 手 机 处 于 漫游 状态 时 ,SSD_A 和 SSD_B 被 明文 传输 到 正在 访问 的 网 络 中 。 这 可 能 
会 产生 安全 风险 ,因为 黑客 可 以 通过 截获 SSD 值 来 复制 手机 信息 。 为 了 预防 这 种 攻击 , 手 
机 和 网 络 使 用 一 个 同步 通话 计数 器 。 每 当 手 机 和 网 络 建立 新 的 通话 时 ,计数 器 就 会 更 新 ,这 
样 就 能 够 检测 出 计数 器 没有 更 新 的 复制 SSD。 

CDMA 的 认证 同样 是 建立 在 询问 和 应 答 过 程 上 的 。 认 证 可 以 由 本 地 MSC 或 者 AUC 
来 完成 。 如 果 一 个 MSC 不 能 完成 CAVE 计算 ,认证 就 由 AUC 来 实现 。CDMA 的 认证 过 
程 如 下 ( 见 图 8. 2.4 所 示 ) 。 


AUTHU=CAVE(RANDU,ESN,MIN) 


图 8.2.4 CDMA 的 认证 过 程 












AUTHU=CAVE(SSD_A,ESN,MIN) 


(1) 移动 手机 拨 出 电话 ,MSC 从 HLR 获取 用 户 信息 。 

(2) MSC 产生 一 个 24 位 的 随机 数 用 于 询问 (RANDU) ,并 将 RANDU 传输 到 手机 。 

(3) 手机 收 到 RANDU 后 ,与 ESN 和 MIN 一 起 用 CAVE 算法 生成 杂凑 值 , 得 到 一 个 
18 位 的 AUTHU, 并 将 其 传输 到 MSC。 

(4) MSC 通过 SSD_A、ESN 和 MIN, 用 CAVE 计算 出 自己 的 AUTHU。 

(5) MSC 将 两 个 AUTHU 进行 比 对 ,如 两 者 一 致 , 则 继续 进行 通话 ; 否则 中 止 通话 。 

2) CDMA 的 保密 性 

CDMA 采用 与 GSM 类 似 的 语音 加 密 机 制 。 虽 然 CDMA 标准 允许 语音 通信 加 密 , 但 
CDMA 运营 商 并 不 会 一 直 提供 这 种 服务 ,因为 CDMA 采用 的 扩 频 技术 和 随机 编码 技术 本 
身 就 比 GSM 采用 的 TDMA 技术 保密 性 好 。 

CDMA 采用 的 加 密 算 法 与 GSM 一 样 也 是 保密 的 ,因此 针对 CAVE 算法 的 攻击 很 少 ， 
但 这 并 不 意味 着 CAVE 算法 本 身 很 强 , 它 在 理论 上 也 很 有 可 能 存在 着 漏洞 。CDMA 正 开 
始 逐 渐 过 渡 到 公开 加 密 算法 上 ,这 样 会 大 大 加 强加 密 算法 的 强 固 性 ,同时 也 使 CDMA 运营 
商 能 够 提供 更 多 的 移动 商务 服务 。 

3. 3G 的 安全 性 

1) 2G 的 安全 缺陷 

2G 系统 主要 存在 如 下 安全 缺陷 。 


(1) 单 向 身份 认证 ,无 法 防止 伪造 网 络 设备 的 攻击 。 

(2) 加 密 密 钥 与 认证 数据 在 网 络 中 使 用 明文 传输 , 易 造 成 信息 泄露 。 

(3) 加 密 功 能 没有 延伸 到 核心 网 ,从 基站 到 基站 控制 器 的 传输 链 路 中 用 户 信息 与 信 令 
数据 均 是 明文 。 

(4) 用 户 身份 认证 密 钥 不 可 变 , 无 法 抗击 重 放 攻 击 。 

(5) 无 消息 完整 性 认证 ,不 能 保证 数据 在 链 路 传输 过 程 中 的 完整 性 。 

(6) 用 户 漫游 时 ,服务 网 络 采 用 的 认证 参数 与 归属 网 络 之 间 没有 有 效 的 联系 。 

(7) 无 第 三 方 仲裁 功能 , 当 网 络 各 实体 间 出 现 纠纷 时 ,无 法 提交 给 第 三 方 进行 仲裁 。 

2) 3G 的 安全 特性 

3G 是 在 2G 基础 上 发 展 起 来 的 ,继承 了 2G 系统 的 安全 优点 ,同时 针对 3G 系统 的 新 特 
性 ,定义 了 更 加 完善 的 安全 特征 与 安全 服务 。 

3G 系统 的 安全 设计 充分 考虑 了 2G 系统 存在 的 安全 性 缺陷 ,在 结构 设计 及 算法 设计 中 
予以 克服 。3G 系统 不 仅 支持 传统 的 话音 与 数据 业务 ,还 支持 交互 式 业务 与 分 布 式 业务 ,从 
而 提供 了 一 个 全 新 的 业务 环境 。 这 种 全 新 的 业务 环境 不 仅 体现 了 新 的 业务 特征 ,还 要 求 系 
统 能 够 提供 如 下 安全 特征 。 

(1) 存在 不 同 的 服务 提供 商 , 同 时 提供 多 种 新 业务 及 不 同业 务 的 并 发 支持 。 新 的 3G 系 
统 安全 特征 需 综合 考虑 多 业务 情况 下 的 被 攻击 性 。 

(2) 采用 固定 线路 传输 。 

(3) 系统 中 存在 各 种 预付 费 业 务 及 对 方 付 费 业 务 ,应 提供 相应 的 安全 保护 。 

(4) 系统 的 安全 特征 应 能 抗击 用 户 可 能 进行 的 主动 攻击 。 

(5) 系统 中 非 话 音 业 务 将 占 主要 地 位 ,对 安全 性 的 要 求 更 高 。 

(6) 系统 中 的 终端 能 力 进一步 增强 。 

3) 3G 的 安全 目标 

基于 上 述 原则 和 安全 特性 ,3G 的 系统 安全 应 达到 如 下 目标 。 

(1) 确保 所 有 用 户 产生 或 与 用 户 相 关 的 信息 得 到 足够 的 保护 ,以 防止 滥用 或 盗用 。 

(2) 确保 归属 网 络 与 访问 网 络 提供 的 资源 与 服务 得 到 足够 的 保护 ,以 防 滥用 或 盗用 。 

(3) 确保 标准 安全 特性 的 全 球 兼容 能 力 。 

(4) 确保 安全 特性 的 标准 化 ,保证 不 同 的 服务 网 络 间 的 漫游 与 互 操作 能 力 。 

(5) 确保 提供 给 用 户 与 运营 商 的 安全 保护 水 平 高 于 已 有 的 固定 或 移动 网 络 。 

(6) 确保 3G 安全 能 力 的 扩展 性 ,从 而 可 以 根据 新 的 威胁 不 断 扩 展 安全 功能 。 


8.2.3 无 线 设备 与 数据 安全 


1. 无 线 频率 安全 

由 于 无 线 传输 是 通过 无 线 电波 进行 的 ,这 使 所 有 人 都 不 必 经 过 物理 连接 到 网 络 的 任何 
部 分 即 可 监控 传输 过 程 。 拥 有 无 线 网 卡 和 一 些 无 线 网 络 系统 基本 知识 的 攻击 者 即 可 监控 所 
有 通过 网 络 的 通信 。 

大 多 数 的 固定 式 无 线 网 络 访问 是 通过 RF 频谱 进行 通信 的 。RF 频谱 实际 是 一 个 宽 范 
围 的 微波 频率 ,范围 是 500kHz 一 300GHz。 常 见 的 使 用 RF 频谱 的 设备 有 移动 电话 、 无 强 电 
话 、 电 视 机 、AM 和 FM 收音 机 、 微 波 炉 等 。 并 不 是 RF 频谱 内 所 有 的 频率 都 要 经 过 许可 ,还 | 章 
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有 一 些 频 率 范围 为 自由 频段 ,最 常用 的 是 工业 、 科 学 和 医学 (Industrial、 Scientific、Medical， 
ISM) 界 所 用 的 频段 。ISM 频率 通常 是 固定 式 无 线 网 络 访问 设备 所 最 常用 的 频率 。 

RF 频谱 内 频率 的 使 用 ,在 美国 由 FCC 授权 许可 ,而 世界 其 他 地 方 由 国际 电信 联盟 
(ITU) 授 权 许可 。 这 种 差异 会 导致 美国 的 设备 与 世界 其 他 国家 和 地 区 的 同类 设备 运行 在 不 
同 的 频率 上 。 

最 常用 的 两 种 固定 式 无 线 网 络 访问 技术 为 MMDS 和 LMDS。 

2. 物理 位 置 安全 

无 线 网 络 重 要 设备 的 物理 位 置 对 于 固定 式 无 线 通信 环境 来 说 是 非常 重要 的 ,其 主要 原 
因 是 信息 的 可 到 达 性 和 设备 的 安全 性 。 

信息 可 到 达 性 是 固定 式 无 线 网 络 用 户 最 关心 的 事 ,尤其 是 应 用 LMDS 技术 的 用 户 。 如 
果 天 线 没有 ISP 的 WMTS 清晰 视线 ,连接 就 会 被 认为 是 无 用 的 。 多 数 情况 下 ,需要 访问 
WMTS 的 视线 意味 着 要 求 天 线 必 须 安 装 在 无 线 网 络 设备 所 在 的 建筑 物 顶 部 或 建筑 物 外 的 
高 塔 上 。 这 样 可 使 信息 有 最 大 化 的 可 到 达 性 。 另 外 ,提高 无 线 网 络 性 能 的 一 个 途径 是 通过 
使 用 更 好 的 电缆 ,这 可 有 助 于 降低 信号 衰减 。 

为 了 保证 设备 的 安全 性 ,用 户 可 考虑 将 一 些 重要 设备 (如 无 线 Modem 路 由 设备 ) 固 定 
在 安全 的 箱 柜 里 。 应 该 修改 Modem 上 的 默认 密码 ,而 且 还 要 限制 能 访问 它 的 用 户 数量 。 
一 些 公司 希望 将 Modem 放 在 天 线 附 近 ,通常 是 放 在 屋顶 ,以 保持 信号 的 强度 。 在 这 种 情况 
下 可 将 Modem 加 锁 封装 ,以 防止 自然 环境 的 破坏 和 潜在 的 攻击 者 。 如 果 条 件 允 许 , 可 建筑 
一 道 往 笛 围 起 Modem 和 和 天线, 以 确保 这 些 重要 物理 设备 的 安全 。 

3. 无 线 数 据 加 密 

固定 式 无 线 传输 通过 使 用 扩 频 技术 来 保证 其 安全 。 由 于 无 线 连接 通过 特定 频段 传输 
(如 FM 信号 ) ,所 以 某 个 拥有 天 线 和 类 似 网 络 设备 的 攻击 者 会 很 容易 地 嗅 探 到 传输 信息 。 

保护 传送 数据 安全 的 最 好 办 法 是 对 数据 进行 加 密 。 无 线 制造 商 开 发 了 一 种 基于 电缆 的 
安全 标准 一 一 缆 上 数据 业务 接口 规范 (DOCSIS 十 ) 系 统 。 使 用 DOCSIS 十 系统 ,ISP 可 以 对 
用 户 Modem 和 IWMTS( 无 线 消息 测试 平台 ) 之 间 的 数据 流 进行 强制 加 密 。DOCSIS 十 系统 
支持 多 种 类 型 的 密 钥 体制 (如 x. 509 数字 认证 ,RSA 公 钥 加 密 算法 和 TDES 加 密 )。WMTS 
制定 的 加 密 策略 ,要 求 终端 用 户 Modem 必须 遵守 ,否则 WMTS 不 接收 数据 。 这 样 既 可 防 
止 攻击 者 查看 数据 ,又 可 防止 未 授权 用 户 使 用 WMTS 获得 对 ISP 的 未 授权 访问 。 

采取 访问 控制 措施 可 以 防止 网 络 的 数据 资源 (如 通信 资源 或 信息 资源 ) 被 非 授 权 用 户 访 
间 ( 如 数据 的 未 经 授权 使 用 、 汇 露 修 改 、 销 毁 等 )。 用 户 通 过 认证 ,完成 接 入 无 线 局 域 网 的 第 
一 步 , 还 要 获得 授权 才能 开始 访问 权限 范围 内 的 网 络 资源 ,授权 主要 是 通过 访问 控制 机 制 来 
实现 。 访 问 控制 通过 访问 BSSID、MAC 地 址 过 滤 、 控 制 列 表 ACL 等 技术 实现 对 用 户 访问 
网 络 资源 的 限制 。 

4. 无 线 AP 安全 

无 线 AP 是 一 个 包含 广泛 内 容 的 名 称 , 它 不 仅 包含 单纯 性 无 线 AP, 也 同样 是 无 线路 由 
器 ( 含 无 线 网 关 、 无 线 网 桥 ) 等 类 设备 的 统称 。 

智能 手机 、 平 板 电 脑 、 笔 记 本 电脑 个 人 计算 机 、 智 能 电灯 等 需要 连接 WiFi 的 设备 越 来 
越 多 ,这 些 设备 都 可 以 通过 室内 的 无 线路 由 器 或 者 无 线 AP 连接 互联 网 。 那 么 ,作为 互联 网 
入 口 的 无 线路 由 器 和 无 线 AP 无疑 是 非常 重要 的 设备 ,在 我 们 离 不 开 WiFi 的 同时 ,无线 AP 














安全 与 否 成 为 人 们 不 得 不 关心 的 问题 。 目 前 ,连接 无 线路 由 器 的 设备 越 来 越 多 ,无 线路 由 器 
作为 连接 智能 设备 和 互联 网 的 桥梁 如 果 遭 到 攻击 ,不仅 用 户 的 个 人 隐私 和 个 人 财产 将 受到 
损害 ,甚至 生活 都 可 能 会 被 搅 得 鸡犬不宁 。 一 旦 无 线路 由 器 被 攻击 ,攻击 者 就 可 以 截取 人 们 
向 互联 网 发 送 的 信息 ,解读 出 其 中 的 个 人 账号 、 密 码 等 信息 ,并 会 进入 路 由 器 的 系统 后 台 ,更 
改 DNS 服务 器 参数 ,误导 用 户 访问 黑客 搭建 的 钓鱼 网 站 。 

无 线 AP 是 无 线 网 络 的 核心 .是 用 户 进入 有 线 网 络 的 接 入 点 。 要 想 有 效 地 提高 无 线 网 
络 的 整体 性 能 ,用 好 无 线 AP 就 成 为 不 可 缺少 的 重要 环节 。 

在 WLAN 中 ,无 线 AP 必须 从 物理 上 加 以 保护 ,使 攻击 者 不 能 轻易 地 访问 。 无线 AP 
应 靠近 建筑 物 的 中 心 ,这 样 当 信号 到 达 边 界 时 就 变 得 弱 了 。 假 设 一 个 机 构 有 多 个 建筑 物 , 准 
备 建 立 覆 盖 整 个 园区 的 WLAN ,要 把 信号 限制 在 建筑 物 的 内 部 可 能 很 困难 ,那么 就 要 采取 
措施 来 确保 园区 自身 的 安全 ,阻止 未 经 授权 的 用 户 进入 该 地 区 。 

如 果 无 线 AP 上 存储 有 密 钥 和 其 他 的 过 滤器 ,访问 它们 将 受到 限制 。 这 就 对 大 多 数 
WLAN 管理 员 提 出 了 一 个 实际 的 问题 ,因为 许多 无 线 AP 配 有 管理 工具 ,这 些 管理 工具 有 
先天 的 不 安全 性 。 无 线 AP 通常 依靠 HTTP、Telnet 和 SNMP 技术 来 配置 。Telnet 和 
HTTP 的 安全 缺陷 是 所 有 数据 都 是 明文 发 送 的 ,而 SNMP、Telnet 和 HTTP 也 都 面临 许多 
同样 的 安全 问题 。 如 果 可 以 ,在 无 线 AP 上 应 该 禁用 HTTP Telnet 和 SNMP 功能 ,并 使 用 
其 他 的 安全 访问 技术 (如 HTTPS 或 SSH)。 如 果 厂 商 不 支持 对 无 线 AP 控制 的 安全 技术 ， 
那么 到 无 线 AP 的 连接 就 只 能 通过 有 线 网 段 进行 。 

应 定期 地 扫描 所 有 AP 查找 未 经 授权 的 通信 ,更 重要 的 是 查找 未 经 授权 的 AP。 因 为 偶 
尔 企 业 用 户 或 用 户 组 可 能 在 实验 室 建立 WLAN 而 没有 通知 IT 管理 部 门 ,这 些 用 户 对 安全 
保护 WLAN 的 必需 步 又 并 不 知晓 ,因而 可 能 会 不 经 意 地 允许 未 经 授权 的 通信 访问 网 络 。 


8.2.4 无 线 网 络 的 安全 机 制 


1. 有 线 等 价 保密 机 制 

WEP(Wired Equivalent Privacy, 有线 等 效 保密 ) 是 IEEE 802. 11 标准 的 部 分 封装 形 
式 , 它 使 用 对 称 密 钥 加 密 体系 来 保护 终端 用 户 和 AP 之 间 的 数据 。WEP 能 够 为 WLAN 应 
用 提供 数据 加 密 和 身份 认证 保护 功能 。 

WEP 标准 指定 用 RC4 伪 随 机 数 生成 (PRNG) 算 法 来 加 密 两 设备 间 传 输 的 密 钥 。 密 钥 
在 WLAN 网 卡 和 AP 上 都 有 存储 , 且 网 卡 和 AP 之 间 传 输 的 所 有 数据 都 用 该 密 钥 加 密 。 
WEP 的 认证 功能 是 当 加 密 功 能 启用 且 客 户 端 连接 上 AP 时 , AP 会 发 出 一 个 Challenge 
Packet 给 客户 端 ,客户 端 再 利用 共享 密 钥 将 此 值 加 密 后 送 回 AP 以 进行 认证 比 对 ,如 果 正 确 
无 误 , 才 能 获准 访问 网 络 资源 。 

WEP 协议 是 对 在 两 台 设 备 间 无 线 传 输 的 数据 进行 加 密 的 技术 ,可 用 以 防止 非法 用 户 窃 
听 或 人 侵 无 线 网 络 。 对 多 数 管理 员 来 说 .SSID 本 身 没 有 提供 足够 的 安全 。 为 进一步 保护 
WLAN ,许多 管理 员 会 使 用 WEP 协议 。WEP 协议 可 保证 在 无 线 传输 过 程 中 的 数据 安全 ， 
是 保障 无 线 网 络 安全 的 一 项 重要 措施 , 现 已 得 到 普遍 应 用 。WEP 协议 可 实现 数据 安全 性 
(防止 数据 在 传输 过 程 中 被 监听 ) 、 接 入 控制 和 数据 完整 性 等 目标 。 

2. 无 线 保护 接 入 机 制 

由 于 WEP 机 制 存 在 安全 漏洞 与 威胁 ,因此 WiFi 联盟 在 IEEE 802. 11i 出 台 之 前 推出 
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WPA ,作为 中 间 过 渡 标 准 ,确保 WLAN 在 过 渡 期 内 的 安全 。 

WPA(WiFi Protected Access, 无 线 网 络 安全 访问 协议 ) 是 继承 了 WEP 基本 原理 且 可 
解决 WEP 安全 缺陷 的 技术 。 它 遵循 TKIP 和 IEEE 802. 1x 机 制 ,为 移动 客户 机 提供 动态 
密 钥 加 密 和 相互 认证 功能 。 

TKIP 为 WEP 引入 了 新 算法 ,包括 扩展 的 48 位 初始 向 量 与 相关 的 序列 规则 .数据 包 密 
钥 构 建 、 密 钥 生 成 与 分 发 功能 和 信息 完整 性 码 (Michael 码 )。 在 应 用 中 与 利用 802. 1x 和 
EAP( 扩 展 认证 协议 ) 的 认证 服务 器 连接 ,认证 服务 器 用 于 保存 用 户 证 书 , 实 现 有 效 的 认证 
控制 和 与 已 有 信息 系统 的 集成 。WPA 还 具有 防止 数据 被 算 改 和 认证 功能 。 

WPA 加 密 有 WPA、WPA-PSK、WPA2 和 WPA2-PSK 四 种 方式 ,它们 都 采用 相同 的 加 
密 机 制 , 其 区 别 仅 在 于 认证 机 制 。WPA 采用 的 加 密 算 法 有 高 级 加 密 算法 (AES) 和 临时 密 
钥 完 整 性 协议 (TKIP) 两 种 。 

3. IEEE 802. 11i 增强 安全 机 制 

IEEE 802. 11i 规定 了 使 用 IEEE 802. 1x 认证 和 密 钥 管理 方式 ,定义 了 TKIP 和 CCMP 
两 种 数据 加 密 机 制 ,增强 了 WLAN 中 的 数据 加 密 和 认证 性 能 ,并 且 针 对 WEP 加 密 机 制 的 
各 种 缺陷 做 了 多 方面 的 改进 ,可 大 幅度 提升 无 线 网 络 的 安全 性 。 

1) 数据 保密 协议 

IEEE 802. 11i 的 加 和 密 协议 主要 是 针对 WEP 和 WLAN 的 特点 来 设计 的 ,目的 是 为 了 有 
效 地 抵抗 各 种 主动 和 被 动 攻击 ,建立 一 个 健壮 的 安全 网 络 。IEEE 802. 11i 的 草案 中 定义 了 
TKIP 和 CCMP 两 种 数据 加 密 协 议 。CCMP 是 IEEE 802. 11i 所 使 用 的 最 强 的 算法 ; TKIP 
存在 的 主要 目的 是 因为 现在 的 大 多 数 设备 只 支持 这 种 WEP, 它 可 使 这 些 设备 升级 。 

(1) TKIP( 暂 时 密 钥 完整 性 ) 协 议 。 为 了 更 系统 地 修正 WEP 中 的 安全 漏洞 ,IEEE 提出 
了 向 后 兼容 WEP 的 升级 算法 TKIP。TKIP 是 一 种 对 传统 设备 上 WEP 算法 进行 加 强 的 协 
议 , 它 可 使 用 户 在 不 更 新 硬件 设备 的 情况 下 ,提升 系统 的 安全 性 。 

(2) CCMP 协议 。TKIP 是 基于 RC4 算法 设计 的 ,所 以 TKIP 只 能 是 一 种 过 渡 解 决 方 
案 。IEEE 802. 11i 标准 的 最 终 方 案 是 基于 IEEE 802. 1x 认证 的 .以 AES 为 核心 算法 的 加 
密 技术 ,CCMP 是 IEEE 802. 11i 规范 中 的 默认 模式 。 

2) 认证 和 访问 控制 

访问 控制 是 网 络 安全 的 重要 组 成 部 分 .只 有 通过 合理 的 控制 方式 才能 保障 合法 用 户 使 
用 网 络 资源 。 在 访问 控制 的 同时 必然 伴随 着 身份 的 认证 ,用户 只 有 向 他 人 证 明 自 己 的 身份 
后 才能 享用 为 他 所 提供 的 资源 。IEEE 802. 11i 中 的 认证 ,授权 和 接 入 控制 主要 是 由 三 个 部 
分 配合 完成 的 ,分 别 是 IEEE 802. 1x 标准 、.EAP 协议 和 RADIUS 协议 。 

(1) IEEE 802. 1x 标准 。IEEE 802. 1x 是 一 种 基于 端口 的 认证 协议 ,可 通过 认证 和 加 密 
来 防止 非法 接 人 无 线 网 络 。 端 口 可 以 是 一 个 物理 端口 ,也 可 以 是 一 个 逻辑 端口 。IEEE 
802. 1x 认证 的 最 终 目 的 就 是 确定 一 个 端口 是 否 可 用 。IEEE 802. 1x 协议 解决 了 传统 的 
Web 认证 方式 带 来 的 问题 ,消除 了 网 络 瓶颈 ,减轻 了 网 络 封装 开销 ,降低 了 建 网 成 本 。 它 的 
优越 性 表现 为 简捷 高 效 、 认 证 与 业务 分 离 和 安全 可 靠 。 

(2) EAP 协议 。 可 扩展 认证 协议 (EAP) 是 PPP 认证 中 的 一 个 通用 协议 ,其 特点 是 EAP 
在 链 路 控制 阶段 没有 选 定 认 证 机 制 ,而 是 把 这 一 步 推迟 到 认证 阶段 ,这 样 就 允许 认证 者 在 确 
定 某 种 特定 认证 机 制 前 请 求 更 多 的 信息 ,还 可 以 采用 一 个 后 端 服务 器 来 实际 实现 各 种 认证 


机 制 , 认 证 者 仅仅 需要 传递 认证 信息 。 

EAP 可 以 与 IEEE 802. 1x 很 好 地 配合 使 用 ,因为 IEEE 802. 1x 专门 定义 了 在 LAN 上 
运行 EAP 的 报 文 格式 EAPOL。 在 IEEE 802. 1x 中 ,AP 本 身 并 不 参与 具体 的 认证 过 程 ,而 
只 是 对 认证 信息 起 传递 作用 ,并 把 认证 服务 器 认证 的 结果 传递 到 端口 ,因此 AP 只 需要 知道 
EAP 的 报 文 类 型 和 转换 的 方法 ,而 不 必 知道 认 证 服务 器 所 使 用 的 具体 的 EAP 方法 。 

EAP 采用 高 层 认证 技术 ,并 支持 多 种 安全 协议 标准 ,从 而 可 降低 链 路 层 运算 资源 在 安 
全 上 的 开销 。 它 可 运行 在 任何 链 路 层 之 上 ,可 方便 扩展 支持 未 来 的 认证 协议 ,具有 良好 的 适 
用 性 和 可 扩展 性 。 

(3) RADIUS 协议 。 配置 AP 使 用 RADIUS 对 用 户 进行 验证 可 进一步 增强 无 线 网 络 的 
安全 。RADIUS 验证 给 管理 员 提 供 通 过 AP 访 问 网 络 的 更 多 精细 粒度 的 控制 。 并 不 是 所 有 
的 AP 都 支持 RADIUS 验证 ,但 像 Cisco、Linksys、Lucent 和 Proxim 等 著名 供应 商 的 AP 
都 支持 RADIUS 功能 。RADIUS 验证 阻止 未 授权 的 用 户 通过 WLAN 访问 网 络 。 如 果 用 
户 不 能 通过 RADIUS 服务 器 验证 ,就 不 允许 访问 网 络 。 当 用 在 强 密码 策略 的 连接 中 ， 
RADIUS 验证 有 助 于 制止 未 授权 用 户 获得 对 网 络 资源 的 访问 。 

使 用 RADIUS 验证 WLAN 的 过 程 如 图 8. 2.5 所 示 ,RADIUS 服务 器 要 求 WLAN 用 
户 在 获得 网 络 访问 前 进行 验证 。 用 户 连接 到 AP, 使 用 SSID、WEP 或 两 者 结合 来 进行 网 卡 
验证 。AP 向 RADIUS 服务 器 提交 RADIUS 请 求 ,RADIUS 服务 器 验证 现在 能 够 传送 网 络 
通信 的 用 户 。 为 保证 可 靠 性 ,AP 还 可 以 增加 一 个 RADIUS 备用 服务 器 。 如 果 主 服务 器 失 
效 , 用 户 将 自动 转发 给 备用 服务 器 。 


et WLAN 信 号 
LAN 访 问 早 
/ \ WLAN 交 换 机 
~ i > > 
NI 
~> 人 多 


图 8.2.5 使 用 RADIUS 验证 WLAN 
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8.2.5 无 线 网 络 的 安全 措施 


可 采取 如 下 安全 措施 应 对 无 线 网 络 的 安全 威胁 。 

1. 进行 网 络 整体 安全 分 析 、 网 络 设计 和 结构 部 署 

网 络 整体 安全 分 析 是 对 网 络 可 能 存在 的 安全 威胁 进行 全 面 分 析 。 当 确定 有 潜在 的 人 侵 
威胁 时 ,要 将 其 纳入 网 络 规划 ,及 时 采取 措施 ,排除 无 线 网 络 的 安全 威胁 。 选 择 比 较 有 安全 
保证 的 产品 来 部 署 网 络 和 设置 适当 的 网 络 结构 是 确保 网 络 安全 的 前 提 条 件 , 同 时 还 要 做 到 
如 下 几 点 。 

(1) 修改 设备 的 默认 值 。 

(2) 把 基站 看 作 RAS( 远 程 访问 服务 器 ) 。 
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(3) 指定 专用 无 线 网 络 的 IP 协议。 

(4) 在 AP 上 使 用 速度 最 快 的 .能够 支持 的 安全 功能 。 

(5) 考虑 天 线 对 授权 用 户 和 人 侵 者 的 影响 。 

(6) 在 网 络 上 ,针对 全 部 用 户 使 用 一 致 的 授权 规则 。 

(7) 在 不 会 被 轻易 损坏 的 位 置 部 署 硬件 。 

2. 配置 人 侵 检测 系统 

无 线 入 侵 检测 系统 C(WIDS) 相 比 传统 的 IDS 主要 增加 了 对 无 线 网 络 的 检测 和 对 破坏 系 
统 反应 的 特性 。WIDS 是 通过 分 析 网 络 中 的 传输 数据 来 判断 是 否 有 破坏 系统 和 和 人 侵 事 件 。 
WIDS 具有 监视 分 析 用 户 的 活动 检测 非法 的 网 络 行为 .判断 入 侵 事 件 的 类 型 和 对 异常 的 网 
络 流量 进行 预警 等 主要 功能 。WIDS 不 但 能 找 出 大 多 数 的 黑客 行为 并 准确 定位 黑客 的 详细 
地 理 位 置 ,还 能 加 强 策略 ,大 大 提高 无 线 网 络 的 安全 性 。 

3. 对 无 线 网 络 进行 加 密 

对 无 线 网 络 进行 加 密 是 最 基本 的 安全 措施 。 但 加 密 并 不 是 万 能 的 ,对 无 线 网 络 进行 加 
密 只 是 提高 网 络 安全 性 的 主要 措施 。 目 前 常见 的 无 线 网 络 加 密 技术 有 WEP、WPA 和 
WPA2 三 种 。WEP 是 一 种 运用 传统 的 无 线 网 络 加 密 算法 进行 加 密 的 方式 。WPA 是 在 
WEP 基础 上 进行 改进 的 ,采用 TKIP 和 AES 进行 加 密 的 方式 。WPA2 则 是 更 高 一 级 的 安 
全 类 型 , 它 提供 一 种 安全 性 更 高 的 加 密 标准 CCMP ,其 加 密 算法 为 AES。 

4. 设置 MAC 地 址 过 滤 

MAC 地 址 是 网 络 设备 独一无二 的 标识 ,具有 全 球 唯一 性 。 无 线路 由 器 可 追踪 经 过 它 
们 的 所 有 数据 包 源 MAC 地 址 ,因此 开启 无 线路 由 器 上 的 MAC 地 址 过 滤 功 能 ,建立 允许 访 
问 路 由 器 的 MAC 地 址 列表 ,可 达到 防止 非法 设备 接 人 网 络 的 目的 。MAC 过 滤 可 以 降低 大 
量 攻 击 威胁 ,对 于 较 大 规模 的 无 线 网 络 也 是 非常 可 行 的 选项 。 一 是 把 MAC 过 滤器 作为 第 
一 层 保护 措施 ; 二 是 记录 无 线 网 络 上 使 用 的 每 个 MAC 地 址 ,并 配置 在 AP 上 ,只 人 允许 这 些 
地 址 访问 网 络 , 阻 止 非 信任 的 MAC 访问 网 络 ; 三 是 可 以 使 用 日 志 记 录 产 生 的 错误 并 定期 
检查 ,判断 是 否 有 人 企图 突破 安全 措施 。 

5. 有 效 管理 IP 分 配方 式 

IP 地 址 有 静态 地 址 和 动态 地 址 两 种 方式 。 静态 地 址 可 以 避免 黑客 自动 获得 IP 地 址 ， 
而 动态 地 址 可 以 简化 WLAN 的 使 用 ,降低 繁重 的 管理 工作 。 一 般 无 线路 由 器 默认 设置 应 
用 DHCP 功能 , 即 动态 分 配 IP 地 址 。 如 果 入 侵 者 找到 了 无 线 网 络 ,就 会 很 方便 地 通过 
DHCP 获得 一 个 合法 的 IP 地 址 ,这 是 有 安全 隐患 的 。 因 此 ,在 联网 设备 比较 固定 的 环境 中 
应 关闭 无 线路 由 器 的 DHCP 功能 ,然后 按 一 定 的 规则 为 无 线 网 络 中 的 每 一 个 设备 设置 一 个 
静态 IP 地 址 ,并 将 这 些 静 态 IP 地 址 添加 到 在 无 线路 由 器 上 允许 接 入 的 IP 地 址 列表 中 ,可 
大 大 缩小 接 入 无 线 网 络 的 IP 地 址 范围 。 最 好 的 方法 是 将 静态 IP 地 址 与 其 相对 应 MAC 地 
址 同步 绑 定 ,这样 即 使 人 侵 者 得 到 合法 的 IP 地 址 ,还 要 验证 绑 定 的 MAC 地址 ,这 相当 于 设 
置 了 两 道 关卡 ,大 大 提高 了 无 线 网 络 的 安全 性 。 

6. 利用 协议 过 滤 功 能 

协议 过 滤 是 一 种 降低 网 络 安全 风险 的 方式 ,在 协议 过 滤器 上 设置 正确 适当 的 协议 过 滤 
功能 会 给 无 线 网 络 提供 一 种 安全 保障 。 协 议 过 滤 功能 可 限制 那些 企图 通过 SNMP 协议 访 
问 无 线 设 备 进而 修改 配置 的 网 络 用 户 ,还 可 防止 使 用 较 大 的 ICMP 协议 数据 包 和 其 他 会 用 


作 DoS 攻击 的 协议 。 

7. 采用 身份 验证 和 授权 

如 果 入 侵 者 了 解 到 网 络 的 SSID MAC 地 址 或 WEP 密 钥 等 相关 信息 ,就 可 据 此 尝试 与 
AP 建立 联系 ,从 而 使 无 线 网 络 出 现 安全 隐患 。 因 此 在 用 户 建立 与 无 线 网 络 的 关联 前 对 其 
进行 身份 验证 是 很 必要 的 。 如 果 开 放 身 份 验证 就 意味 着 只 需 向 AP 提供 SSID 或 正确 的 
WEP 密 钥 ,而 此 时 如 果 没 有 其 他 的 保护 ,那么 无 线 网 络 对 每 个 获知 网 络 SSID、MAC 地 址 或 
WEP 密 钥 等 信息 的 用 户 来 说 将 会 处 于 完全 开放 的 状态 ,其 后 果 可 想 而 知 。 

8. 防止 非法 接 人 

1) 防止 非法 用 户 的 接 和 人 

(1) 基于 SSID 防止 非法 用 户 接 人 。 服 务 设置 标识 符 SSID 是 用 来 标识 一 个 网 络 的 名 
称 , 以 此 来 区 分 不 同 的 网 络 ,最 多 可 以 有 32 个 字符 。 无 线 客 户 机 设置 了 不 同 的 SSID ,可 以 
进入 不 同 网 络 。 无 线 客户 机 必须 提供 正确 的 SSID ,与 无 线 AP 的 SSID 相同 ,才能 访问 AP。 
如 果 出 示 的 SSID 与 AP 的 SSID 不 同 ,AP 将 拒绝 它 通过 本 服务 区 上 网 。 因 此 可 认为 SSID 
是 一 个 简单 的 口令 ,从 而 提供 口令 认证 机 制 ,阻止 非法 用 户 的 接 入 。SSID 通常 由 AP 广播 
出 来 。 出 于 安全 考虑 ,可 禁止 AP 广播 其 SSID 号 。 

(2) 基于 无 线 网 卡 物理 地 址 过 滤 防 止 非法 用 户 接 和 人 。 由 于 每 个 无 线 客 户 机 的 网 卡 都 有 
唯一 的 物理 地 址 ,因此 可 以 利用 MAC 地 址 来 阻止 未 经 授权 的 无 限 工作 站 接 和 。 为 AP 设 
置 基于 MAC 地 址 的 访问 控制 表 , 确 保 只 有 经 过 注册 的 设备 才能 进入 网 络 。 可 以 在 AP 中 
手工 维护 允许 访问 的 MAC 地 址 列表 ,实现 物理 地 址 过 滤 。 但 是 MAC 地 址 在 理论 上 可 以 
伪造 ,因此 这 也 是 较 低级 别 的 授权 认证 。 物 理 地 址 过 滤 属 于 硬件 认证 ,而 不 是 用 户 认 证 。 这 
种 方式 要 求 AP 中 的 MAC 地 址 列表 必须 随时 更 新 。 如 果 用 户 增加 , 则 扩展 能 力 变 差 ,因此 
只 适用 于 小 规模 网 络 。 如 果 网 络 中 的 AP 数量 很 多 ,可 以 使 用 802. 1x 端口 认证 技术 配合 后 
台 的 RADIUS 认证 服务 器 ,对 所 有 接 入 用 户 的 身份 进行 严格 认证 ,杜绝 未 经 授权 的 用 户 接 
和 人 网络 、 次 用 数据 或 进行 破坏 。 

(3) 基于 802. 1x 防止 非法 用 户 接 入 。802. 1x 技术 也 是 用 于 WLAN 的 一 种 增强 性 的 
网 络 安全 解决 方案 。 当 无 线 客户 机 与 无 线 AP 关联 后 ,是 否 可 以 使 用 AP 的 服务 要 取决 于 
802. 1x 的 认证 结果 。 如 果 认 证 通过 , 则 AP 为 无 线 客户 机 打开 这 个 逻辑 端口 ,否则 不 允许 
用 户 上 网 。 

2) 防止 非法 AP 的 接 入 

无 线 局 域 网 易于 访问 和 配置 简单 的 特性 ,增加 了 无 线 局 域 网 管理 的 难度 。 因 为 任何 人 
都 可 以 通过 自己 购买 的 AP, 不 经 过 授权 而 接 入 网络 ,这 就 给 无 线 局 域 网 带 来 很 大 的 安全 
隐患 。 

(1) 基于 无 线 网 络 的 IDS 防止 非法 AP 接 入 。 使 用 IDS 防止 非法 AP 的 接 入 主要 有 发 
现 非法 AP 和 清除 非法 AP 两 个 步骤 。 发 现 非法 AP 是 通过 分 布 于 网 络 各 处 的 探测 器 完成 
数据 包 的 捕获 和 解析 ,它们 能 迅速 地 发 现 所 有 无 线 设 备 的 操作 ,并 报告 给 管理 员 或 IDS 系 
统 。 通 过 使 用 网 络 管理 软件 (如 SNMP) ,也 可 以 确定 AP 接 入 有 线 网 络 的 具体 物理 地 址 。 
发 现 AP 后 ,可 以 根据 合法 的 AP 认证 列表 (ACL) 判 断 该 AP 是 否 合法 。 如 果 判 断 新 检测 
到 的 AP 的 MAC 地 址 SSID、Vendor 无线 媒 介 类 型 或 者 信道 异常 ,就 可 以 认为 其 是 非法 
AP。 当 发 现 非法 AP 之 后 ,应 该 立即 采取 相应 的 措施 , 阻 断 该 AP 的 连接 。 可 采用 网 络 管 
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7. 采用 身份 验证 和 授权 

如 果 入 侵 者 了 解 到 网 络 的 SSID MAC 地 址 或 WEP 密 钥 等 相关 信息 ,就 可 据 此 尝试 与 
AP 建立 联系 ,从 而 使 无 线 网 络 出 现 安全 隐患 。 因 此 在 用 户 建立 与 无 线 网 络 的 关联 前 对 其 
进行 身份 验证 是 很 必要 的 。 如 果 开 放 身 份 验证 就 意味 着 只 需 向 AP 提供 SSID 或 正确 的 
WEP 密 钥 ,而 此 时 如 果 没 有 其 他 的 保护 ,那么 无 线 网 络 对 每 个 获知 网 络 SSID、MAC 地 址 或 
WEP 密 钥 等 信息 的 用 户 来 说 将 会 处 于 完全 开放 的 状态 ,其 后 果 可 想 而 知 。 

8. 防止 非法 接 人 

1) 防止 非法 用 户 的 接 和 人 

(1) 基于 SSID 防止 非法 用 户 接 人 。 服 务 设置 标识 符 SSID 是 用 来 标识 一 个 网 络 的 名 
称 , 以 此 来 区 分 不 同 的 网 络 ,最 多 可 以 有 32 个 字符 。 无 线 客 户 机 设置 了 不 同 的 SSID ,可 以 
进入 不 同 网 络 。 无 线 客户 机 必须 提供 正确 的 SSID ,与 无 线 AP 的 SSID 相同 ,才能 访问 AP。 
如 果 出 示 的 SSID 与 AP 的 SSID 不 同 ,AP 将 拒绝 它 通过 本 服务 区 上 网 。 因 此 可 认为 SSID 
是 一 个 简单 的 口令 ,从 而 提供 口令 认证 机 制 ,阻止 非法 用 户 的 接 入 。SSID 通常 由 AP 广播 
出 来 。 出 于 安全 考虑 ,可 禁止 AP 广播 其 SSID 号 。 

(2) 基于 无 线 网 卡 物理 地 址 过 滤 防 止 非法 用 户 接 和 人 。 由 于 每 个 无 线 客 户 机 的 网 卡 都 有 
唯一 的 物理 地 址 ,因此 可 以 利用 MAC 地 址 来 阻止 未 经 授权 的 无 限 工作 站 接 和 。 为 AP 设 
置 基于 MAC 地 址 的 访问 控制 表 , 确 保 只 有 经 过 注册 的 设备 才能 进入 网 络 。 可 以 在 AP 中 
手工 维护 允许 访问 的 MAC 地 址 列表 ,实现 物理 地 址 过 滤 。 但 是 MAC 地 址 在 理论 上 可 以 
伪造 ,因此 这 也 是 较 低级 别 的 授权 认证 。 物 理 地 址 过 滤 属 于 硬件 认证 ,而 不 是 用 户 认 证 。 这 
种 方式 要 求 AP 中 的 MAC 地 址 列表 必须 随时 更 新 。 如 果 用 户 增加 , 则 扩展 能 力 变 差 ,因此 
只 适用 于 小 规模 网 络 。 如 果 网 络 中 的 AP 数量 很 多 ,可 以 使 用 802. 1x 端口 认证 技术 配合 后 
台 的 RADIUS 认证 服务 器 ,对 所 有 接 入 用 户 的 身份 进行 严格 认证 ,杜绝 未 经 授权 的 用 户 接 
和 人 网络 、 次 用 数据 或 进行 破坏 。 

(3) 基于 802. 1x 防止 非法 用 户 接 入 。802. 1x 技术 也 是 用 于 WLAN 的 一 种 增强 性 的 
网 络 安全 解决 方案 。 当 无 线 客户 机 与 无 线 AP 关联 后 ,是 否 可 以 使 用 AP 的 服务 要 取决 于 
802. 1x 的 认证 结果 。 如 果 认 证 通过 , 则 AP 为 无 线 客户 机 打开 这 个 逻辑 端口 ,否则 不 允许 
用 户 上 网 。 

2) 防止 非法 AP 的 接 入 

无 线 局 域 网 易于 访问 和 配置 简单 的 特性 ,增加 了 无 线 局 域 网 管理 的 难度 。 因 为 任何 人 
都 可 以 通过 自己 购买 的 AP, 不 经 过 授权 而 接 入 网络 ,这 就 给 无 线 局 域 网 带 来 很 大 的 安全 
隐患 。 

(1) 基于 无 线 网 络 的 IDS 防止 非法 AP 接 入 。 使 用 IDS 防止 非法 AP 的 接 入 主要 有 发 
现 非法 AP 和 清除 非法 AP 两 个 步骤 。 发 现 非法 AP 是 通过 分 布 于 网 络 各 处 的 探测 器 完成 
数据 包 的 捕获 和 解析 ,它们 能 迅速 地 发 现 所 有 无 线 设 备 的 操作 ,并 报告 给 管理 员 或 IDS 系 
统 。 通 过 使 用 网 络 管理 软件 (如 SNMP) ,也 可 以 确定 AP 接 入 有 线 网 络 的 具体 物理 地 址 。 
发 现 AP 后 ,可 以 根据 合法 的 AP 认证 列表 (ACL) 判 断 该 AP 是 否 合法 。 如 果 判 断 新 检测 
到 的 AP 的 MAC 地 址 SSID、Vendor 无线 媒 介 类 型 或 者 信道 异常 ,就 可 以 认为 其 是 非法 
AP。 当 发 现 非法 AP 之 后 ,应 该 立即 采取 相应 的 措施 , 阻 断 该 AP 的 连接 。 可 采用 网 络 管 
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理 员 利 用 网 络 管理 软件 确定 非法 AP 的 物理 连接 位 置 从 物理 上 断 开 的 方式 阻 断 AP 连接 ， 
也 可 采用 禁止 在 交换 机 的 端口 连接 非法 AP 的 方式 阻 断 AP 连接 。 

(2) 基于 802. 1x 双向 验证 防止 非法 AP 接 入 。 利 用 对 AP 的 合法 性 验证 以 及 定期 进行 
站 点 审查 ,防止 非法 AP 的 接 入 。 在 无 线 AP 接 人 有 线 交换 设备 时 ,可 能 会 遇 到 非法 AP 的 
攻击 ,非法 安装 的 AP 会 危害 无 线 网 络 的 宝贵 资源 ,因此 必须 对 AP 的 合法 性 进行 验证 。 
AP 支持 的 IEEE 802. 1x 技术 提供 了 一 个 客户 机 和 网 络 相互 验证 的 方法 ,在 此 验证 过 程 中 
不 但 AP 需要 确认 无 线 用 户 的 合法 性 .无线 终端 设备 也 必须 验证 AP, 然 后 才能 进行 通信 。 
通过 双向 认证 可 以 有 效 地 防止 非法 AP 的 接 入 。 

(3) 基于 检测 设备 防止 非法 AP 的 接 人 。 在 入 侵 者 使 用 网 络 之 前 ,通过 接收 天 线 找到 
未 被 授权 的 网 络 。 网 络 管理 员 应 当 尽 可 能 频繁 地 对 物理 站 点 进行 监测 ,因为 频繁 的 监测 可 
增加 发 现 非 法 配置 站 点 的 机 会 。 管 理 员 可 以 通过 小 型 的 手持 式 扫描 检测 设备 随时 到 网 络 的 
任何 位 置 进行 检测 ,清除 非法 接 人 的 AP。 

9. 应 用 VPN 技术 

在 大 型 的 无 线 网 络 中 ,对 工作 站 的 维护 、 对 AP 的 MAC 地 址 列表 设置 ,对 AP 的 WEP 
加 密 密 钥 管理 等 都 是 一 件 相当 繁重 的 工作 ,而 VPN 技术 是 WEP 机 制 和 MAC 地 址 过 滤 机 
制 的 最 佳 代替 者 。VPN 可 在 客户 端 与 各 机 构 间 设置 一 条 动态 的 加 密 隧 道 ,并 同时 支持 用 户 
进行 身份 验证 ,以 此 来 实现 高 级 别 的 安全 保障 , 且 多 数 操作 系统 都 支持 VPN 隧道 的 普通 客 
户 端 (如 PPTP、L2TP 和 IPSec)。 无 线 网 络 数 据 用 VPN 加 密 后 再 用 无 线 加 密 技术 加 密 , 可 
大 大 提高 无 线 网 络 的 安全 性 能 。 

在 WLAN 中 VPN 是 通过 在 网 络 和 AP 之 间 加 装 NAS 服务 器 实现 保护 功能 的 ,如 
图 8. 2.6 所 示 。 使 用 VPN 保护 WLAN,WLAN 用 户 建立 通 向 访问 服务 器 的 隧道 ,加 密 所 
有 在 用 户 和 网 络 间 传输 的 通信 。WLAN 用 户 连 接 AP, 请 求 转发 给 NAS,NAS 再 处 理 数据 
加 密 和 验证 ,并 创建 隧道 。 一 旦 用 户 成 功 地 通过 NAS 服务 器 的 验证 ,隧道 即 可 建立 ,加 密 
的 数据 就 可 以 在 用 户 和 网 络 间 自由 地 传输 了 。 
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NAS 服 务 器 
图 8.2.6 使 用 VPN 保护 WLAN 


尽管 VPN 技术 很 好 , 且 许多 人 认为 是 企业 网 络 的 关键 ,但 它 仍 然 存 在 一 些 不 足 。 如 在 
NAS 服务 器 和 终端 用 户 机 器 上 都 要 建立 隧道 ,需要 额外 的 CPU 开销 。 如 果 网 络 上 没有 建 
立 VPN ,那么 建立 新 的 VPN 还 要 花费 很 多 的 时 间 和 费用 。 

除 上 述 安全 措施 外 ,在 实际 使 用 中 还 可 采取 诸如 对 用 户 进行 安全 教育 .设置 附加 的 第 三 
方 数据 加 密 方案 .加 强 企业 内 部 管理 、 提 高 技术 人 员 对 安全 技术 措施 的 重视 ,加 大 安全 制度 
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建设 等 措施 加 强 无 线 网 络 的 安全 性 。 


习题 和 思考 题 


~“、 简 答题 


. 简 述 无 线 广域网 技术 。 

. 何 为 扩 频 技术 ? 何 为 3G 技术 ? 3G 技术 有 哪些 标准 ? 
. 简 述 3G 的 安全 目标 。 

. CDMA 的 主要 特点 是 什么 ? 

. 无 线 局 域 网 的 主要 标准 有 哪些 ? 


无 线 网 络 存在 哪些 不 安全 因素 ? 


. 无 线 网 络 的 安全 措施 有 哪些 ? 
. 无 线 网 络 防止 非法 AP 接 和 人 的 措施 有 哪些 ? 


二 、 填 空 题 


1. 无 线 网 络 主要 有 无 线 ( ) 和 无 线 ( ) 两 种 类 型 。 

2. 无 线 广 域 网 的 主要 支持 技术 有 ( ) 技 术 、( ) 技 术 、( ) 技 术 和 ( ) 等 。 
3. 
4. 


CDMA 的 安全 性 是 建立 在 ( ) 体 系 上 的 。 
WEP 是 一 个 用 于 ( ) 的 安全 协议 ,该 协议 是 对 在 两 台 设备 间 ( ) 进 行 加 密 的 


技术 ,可 用 以 防止 非法 用 户 窃听 或 侵入 无 线 网 络 。 


5. GSM 标准 有 ( ) 和 ( ) 两 个 频段 。 
.IEEE 802. 11i 标准 中 主要 包含 加 密 技术 ( 六 ) 和 认证 协议 ( )s 
. WEP 是 IEEE 802. 11 标准 的 部 分 封装 形式 , 它 能 够 为 WLAN 应 用 提供 ( ) 


) 保 护 功 能 。 


.WPA 是 继承 了 ( ) 基 本 原理 且 可 解决 ( ) 安 全 缺陷 的 技术 , 它 为 移动 客户 机 


) 加 密 和 ( ) 功 能 。 


. 目前 推荐 的 3G 主流 技术 标准 有 三 种 ,分 别 为 ( )、CDMA2000 和 ( ), 


) 是 由 中 国 提出 、 以 中 国 知识 产权 为 主 \ 被 国际 上 广泛 接受 和 认可 的 。 


0. 4G 的 关键 技术 主要 有 ( ) 技 术 、( ) 技 术 和 MIMO 技术 。 


三 、 单 项 选择 题 
1. 以 下 3G 主流 技术 标准 中 ( ) 是 由 中 国 提出 、 以 中 国 知识 产权 为 主 、 被 国际 上 广泛 
接受 和 认可 的 。 
A. WCDMA B. TD-SCDMA C. CDMA2000 D. GPRS 
2. 以 下 ( ) 不 是 3G 技术 提供 的 安全 目标 。 
A. 确保 安全 特性 的 标准 化 B. 确保 3G 安全 能 力 的 扩展 性 


C. 确保 标准 安全 特性 的 全 球 兼容 能 力  D. 确保 单 向 身份 认证 功能 的 实施 
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第 9 章 网 络 安全 实践 


本 章 要 点 

。 常用 网 络 工具 的 使 用 ; 

。 网 络 操作 系统 的 安全 设置 ; 
。 网 络 部 件 的 安全 设置 ; 

。 数据 加 密 技术 的 应 用 ，; 

。 网 络 安 全 防护 的 应 用 ; 

。 互联 网 应 用 案例 ; 

。 无 线 网 络 路 由 器 的 安全 设置 。 


本 章 主 要 介绍 21 个 网 络 安全 应 用 实例 ,这 些 实例 的 应 用 性 和 可 操作 性 都 较 强 。 各 个 实 
例 都 可 作为 与 前 面 各 章 知 识 相对 应 的 “实验 指导 书 ” 也 可 单独 作为 有 一 定 网 络 安全 基本 知 
识 的 读者 使 用 的 网 络 安全 实践 教材 或 参考 书 。 通 过 学 习 和 实践 相关 实例 ,读者 可 了 解 和 掌 
握 网 络 安全 软件 (工具 ) 的 应 用 和 操作 技能 。 


9.1 常用 网 络 工 具 的 使 用 


本 节 主 要 介绍 计算 机 网 络 常 用 工具 ping 和 ARP 的 使 用 。 

1. ping 

ping 是 Windows 系列 自 带 的 一 个 可 执行 命令 。 利 用 它 可 以 检查 网 络 是 否 能 够 连通 ， 
当 网 络 出 现 故障 时 ,可 用 该 命令 预测 故障 和 确定 故障 地 点 。ping 操作 成 功 则 说 明 当 前 主机 
与 目的 主机 之 间 存在 一 条 连通 的 路 径 ; 如 果 不 成 功 , 则 考虑 网 线 是 否 连通 、 网 卡 设置 是 否 正 
确 、IP 地 址 是 否 可 用 等 。 该 命令 只 有 在 安装 TCP/IP 协议 之 后 才能 使 用 。 

按照 默认 设置 ,ping 命令 发 送 4 个 ICMP 回 送 请 求 ,每 个 32 字 节 , 如 果 一 切 正常 ,可 得 
到 4 个 回 送 应 答 。ping 以 毫秒 为 单位 显示 发 送 回 送 请 求 到 返回 回 送 应 答 之 间 的 时 间 。 如 
果 应 答 时 间 短 ,表示 数据 报 不 必 通 过 太 多 的 路 由 器 或 网 络 连接 速度 比较 快 。ping 还 能 显示 
TTL(Time To Live, 存 在 时 间 ) 值 ,用 户 可 以 通过 TTL 值 推算 数据 包 已 经 通过 了 多 少 个 路 
由 器 : 源 地 点 TTL 起 始 值 ( 比 返回 TTL 略 大 的 一 个 2 的 乘 方 数 ) 一 返回 时 TTL 值 。 如 返 
回 TTL 值 为 119 ,那么 可 以 推算 数据 报 离开 源 地 址 的 TTL 起 始 值 为 128, 而 源 地 点 到 目标 
地 点 要 通过 9(128 一 119) 个 路 由 器 网 段 ; 如 果 返 回 TTL 值 为 248,TTL 起 始 值 就 是 256, 源 
地 点 到 目标 地 点 要 通过 8 个 路 由 器 网 段 。 





1) ping 命令 的 语法 

ping [-t]l[-al[-ncount][-11lengthl][-fl][-itl]l[-vtos]l[-rcount][[-jcomnputer 一 

list] | [~ k computer- list]] [~—w timeout] destination - list 

2) 参数 说 明 

-t 校 验 与 指定 计算 机 的 连接 ,直到 用 户 按 下 Ctrl 十 C 键 中 断 。 

-a 将 地 址 解析 为 计算 机 名 。 

-n count 发送 由 count 指定 数量 的 Echo 报 文 ,默认 值 为 4。 

-1 length ”发 送 包 含 由 length 指定 数据 长 度 的 Echo 报 文 , 默 认 值 为 64 字 节 ,最 大 值 为 
8192 字 节 。 

-f 在 包 中 发 送 “ 不 分 段 ” 标 志 , 该 包 将 不 被 路 由 上 的 网 关 分 段 。 

-ittl 将 “生存 时 间 ” 字 段 设 置 为 TTL 指定 的 数值 。 

-v tos ”将 “服务 类 型 "字段 设置 为 tos 指定 的 数值 。 

-r count 在 “记录 路 由 ”字段 中 记录 发 出 报 文 和 返回 报 文 的 路 由 。count 值 最 小 可 以 是 
1, 最 大 可 以 是 9。 

-j computer-list 经 过 由 computer-list 指定 的 计算 机 列表 的 路 由 报 文 。 中 间 网 关 可 能 
分 隔 连 续 的 计算 机 (松散 源 路 由 )。 人 允许 的 最 大 IP 地 址 数目 是 9。 

-k computer-list 经 过 由 computer-list 指定 的 计算 机 列表 的 路 由 报 文 。 中 间 网 关 可 能 
分 隔 连续 的 计算 机 (严格 源 路 由 )。 人 允许 的 最 大 IP 地 址 数目 是 9。 

-w timeout 以 毫秒 为 单位 指定 超时 间隔 。 

destination-list ”指定 要 校 验 连接 的 远程 计算 机 。 

3) 检测 网 络 故 障 

使 用 ping 命令 来 查找 问题 所 在 或 检验 网 络 运 行情 况 时 ,需要 使 用 许多 参数 ,如 果 所 有 
命令 都 运行 正确 ,就 可 以 判定 基本 的 连通 性 和 配置 参数 没有 问题 ; 如 果 某 些 ping 命令 出 现 
运行 故障 , 则 可 指明 到 何 处 去 查找 问题 。 检 测 次 序 及 对 应 的 可 能 故障 如 下 。 

ping 127.0.0.1 该 命令 被 送 到 本 地 计算 机 的 IP 软件 , 永 不 退出 该 计算 机 。 如 果 没 有 
做 到 这 一 点 ,就 表示 TCP/IP 安装 或 运行 存在 某 些 最 基本 的 问题 。 

ping 本 机 IP ”该 命令 被 送 到 用 户 计算 机 的 IP 地 址 ,计算 机 始终 都 应 对 该 ping 命令 做 
出 应 答 。 如 果 没 有 应 答 则 表示 本 地 配置 或 安装 存在 问题 。 用 户 可 断 开 网 络 电缆 ,然后 重新 
发 送 该 命令 。 如 果 网 线 断 开 后 本 命令 正确 . 则 表示 另 一 台 计 算 机 可 能 配置 了 相同 的 IP 
地 址 。 

例如 : 本 机 IP 地 址 为 172. 168. 200. 2, 则 执行 命令 ping 172. 168. 200. 2。 如 果 网 卡 安 
装配 置 没 有 问题 , 则 应 有 如 下 显示 。 

Replay from 172.168.200.2: bytes = 32 time < 10ms 

Ping statistics for 172. 168. 200.2: 

Packets: Sent = 4,Received= 4,Lost =0 <0% loss> 

Approximate round trip times in milli— seconds: 

Minimum = Oms, Maximum = lms, Average = Oms 

如 在 MS-DOS 方式 下 执行 该 命令 ,显示 内 容 为 Request timed out 时 则 表明 网 卡 安装 或 
配置 有 问题 。 可 将 网 线 断 开 再 次 执行 此 命令 ,如 果 显 示 正 常 则 说 明 本 机 IP 地 址 可 能 与 另 一 
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台 正 在 使 用 的 计算 机 的 IP 地 址 一 样 ; 如 果 仍 然 不 正常 则 表明 本 机 网 卡 安装 或 配置 有 问题 ， 
需 继续 检查 相关 网 络 配 置 。 

ping 局 域 网 内 其 他 IP 该 命令 表示 应 离开 自己 的 计算 机 ,经 过 网 卡 及 网 络 电缆 到 达 其 
他 计算 机 ,再 返回 。 收 到 回 送 应 答 则 表明 本 地 网 络 中 的 网 卡 和 载体 运行 正确 ; 如 收 到 0 个 
回 送 应 答 则 表示 子 网 掩 码 不 正确 或 网 卡 配置 错误 或 电缆 系统 有 问题 。 

ping 网 关 IP 该 命令 的 应 答 如 果 正 确 , 则 表示 局 域 网 中 的 网 关 路 由 器 正在 运行 并 能 够 
做 出 应 答 。 

ping localhost localhost 是 127.0.0. 1 的 别名 ,每 台 计 算 机 都 应 该 能 够 将 该 名 字 转 换 
成 该 地 址 。 如 果 出 现 故 障 , 则 表示 主机 文件 (/ Windows/host) 中 存在 问题 。 

ping www. yahoo. com ”是 对 域名 执行 ping 命令 ,如 果 出 现 问题 则 表示 DNS 服务 器 的 
IP 地 址 配置 不 正确 或 DNS 服务 器 有 故障 。 用 户 也 可 以 利用 该 命令 实现 域名 对 IP 地 址 的 
转换 。 

如 果 上 面 所 列 出 的 ping 命令 都 能 正常 运行 , 则 表明 网 络 运行 正常 。 

2. ARP 

在 局 域 网 中 网 络 交换 设备 是 以 48 位 以 太 网 地 址 (MAC 地 址 ) 传 输 以 太 网 数据 包 ,而 在 
Internet 中 目标 地 址 是 由 IP 规定 的 32 位 地 址 来 确定 的 。 由 于 MAC 地 址 与 IP 地 址 之 间 没 
有 直接 的 关系 ,因此 需要 通过 地 址 解析 协议 ARP 进行 转换 。 

ARP 工 作 时 ,首先 请 求 主 机 在 自己 的 ARP 缓存 中 查找 目标 IP 地 址 的 MAC 地 址 信 
息 ,如 果 该 地 址 存在 则 直接 读 取 ,和 否则 发 送 一 个 含有 所 希望 到 达 的 IP 地 址 的 以 太 网 广播 数 
据 包 ; 然后 目标 IP 所 有 者 将 以 一 个 含有 IP 和 MAC 地 址 对 的 数据 包 应 答 请 求 主机 。 这 样 
就 能 获得 目标 IP 地 址 对 应 的 MAC 地 址 ,同时 请 求 主 机 将 该 地 址 对 放 入 自己 的 ARP 表 中 
缓存 起 来 ,以 节约 不 必要 的 ARP 通信 。 

ARP 缓存 表 采 用 了 老化 机 制 ,在 一 段 时 间 内 如 果 表 中 的 某 一 行 没 有 使 用 (Windows 系 
统 这 个 时 间 为 2 分钟 ,而 Cisco 路 由 器 则 为 5 分 钟 ) 就 会 被 删除 ,这 样 可 以 大 大 减少 ARP 组 
存 表 的 长 度 ,加 快 查询 速度 。 

1) arp 命令 的 使 用 

依次 选择 "开始 ”>“ 程 序 ”>“ 附 件 ”>“ 命 令 提示 符 ” 命 令 , 进 入 命令 行 模式 ,运行 arp-a 
命令 , 即 可 查看 当前 ARP 表 , 包 括 本 机 的 IP 地 址 和 MAC 地 址 信息 。 

2) arp 命令 的 语法 

arp[-a[IP 地 址 ] [一 NN 接口 二 地 址 ]] [-g[IP 地 址 ] [-N 接 口 惠 地 址 ]] [-d 也 地 址 [接口 IP 

地 址 ]] [ - s IP 地 址 MAC 地 址 [接口 地 址 MAC 地 址 ]] 

3) 参数 说 明 

-a 显示 所 有 接口 的 当前 ARP 缓存 表 。 带 有 IP 地 址 参数 显示 特定 IP 地 址 的 ARP 组 
存 项 ,如 果 未 指定 IP 地 址 , 则 使 用 第 一 个 适用 的 接口 ; 带 有 -N 接口 了 P 地 址 , 则 显示 特定 接 
口 的 ARP 缓存 表 。 

-g 与 -a 相同。 一般 情况 下 ,-a 多 用 于 Windows 平 台 ,-g 多 用 于 UNIX 平 台 上 ,二 者 可 
以 通用 。 

-d IP 地 址 [接口 IP 地 址 ] 删除 指定 的 IP 地 址 和 指定 的 接口 IP 地 址 。 要 删除 所 有 


项 , 则 使 用 星 号 (* ) 通 配 符 代替 IP 地 址 。 

-s IP 地 址 MAC 地 址 [接口 IP 地 址 MAC 地 址 ] 向 ARP 缓存 添加 可 将 IP 地 址 [接口 
IP 地 址 ] 解 析 成 物理 地 址 EtherAddr 的 静态 项 。 
/? 在 命令 提示 符 下 显示 帮助 。 
注意 : IP 地 址 和 接口 IP 地 址 用 点 分 十 进 制 计数 法 表示 。MAC 地 址 由 六 个 字 节 组 成 ， 
每 字 节 用 十 六 进 制 计数 法 表示 ,并 用 连 字符 隔 开 (如 00-AA-00-4F-2A-9C) 。 


9.2 网 络 操作 系统 的 安全 设置 


本 节 介 绍 Windows 7 系统 、Windows Server 2008 系统 和 Linux 系统 的 安全 设置 。 
9.2.1 Windows 7 系统 的 安全 设置 

Windows 系统 的 安全 设置 一 般 可 以 通过 管理 计算 机 属性 ` 配 置 组 策略 、 修 改 注 册 表 的 
方式 进行 。 下 面 介绍 常用 的 客户 端 操作 系统 Windows 7 的 安全 设置 方法 。 

1. 通过 管理 计算 机 属性 来 实现 系统 安全 


管理 计算 机 属性 的 操作 方法 : 右 击 桌面 上 的 “计算 机 ?图 标 ,在 弹出 的 快捷 菜单 中 选择 
“管理 (G) "命令 ,弹出 如 图 9. 2. 1 所 示 “ 计 算 机 管理 "窗口 。 
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图 9.2.1 计算 机 管理 界面 


1) 关闭 Guest 账户 

Guest 账户 是 Windows 7 系统 安装 后 的 一 个 默认 账户 ,用 户 和 攻击 者 都 可 以 使 用 该 账 
户 。 使 用 Guest 账户 连接 网 络 系统 时 ,服务 器 不 能 判断 连接 者 的 身份 ,因此 ,为 了 安全 起 见 
最 好 关闭 该 账户 。 

第 1 步 : 在 图 9.2.1 中 ,展开 * 本 地 用 户 和 组 ”选择 “用 户 ? 选 项 ,在 右 侧 的 窗口 中 显示 
目前 系统 中 的 用 户 信息 ; 

第 2 步 : 停 用 Guest 账户 。 右 击 Guest 选项 ,选择 “属性 ”命令 ,弹出 “Guest 属性 ”对话 
框 。 勾 选 “ 账 户 已 禁用 ” 复 选 框 , 单 击 “ 确 定 ” 按 钮 .Guest 账户 即 被 停 用 (图 标 上 有 ”yy ”) ,如 
图 9.2.2 所 示 。 
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图 9.2.2 停 用 用 户 显示 


2) 修改 管理 员 账户 名 称 

Windows 系统 默认 的 管理 员 账 户 是 Administrator 且 不 能 删除 。 为 了 减少 系统 被 攻击 
的 风险 ,更 改 默 认 的 管理 员 账 户 名 称 是 很 有 必要 的 。 布 击 Administrator 选项 ,选择 “重合 
名 ”命令 ,在 用 户 名 Administrator 处 出 现 闪 烁 的 光标 ,如 图 9. 2. 3 所 示 , 即 可 修改 Administrator 
的 名 称 。 必 要 时 ,可 再 给 Administrator 设置 一 个 复杂 的 密码 。 
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图 9.2.3 修改 管理 员 账 户 名 称 


3) 设置 陷阱 账户 

所 谓 陷阱 ,就 像 生活 中 猎人 挖 的 陷阱 一 样 ,是 专门 给 猎物 预备 的 。 新 建 一 个 账户 作为 陷 
阱 账户 ,名 称 可 设置 为 Administrator, 但 它 不 属于 管理 员 组 而 仅仅 是 一 个 有 最 基本 权限 的 
用 户 , 其 密码 设置 得 复杂 一 些 。 当 攻击 者 检测 到 系统 中 的 Administrator 账户 时 ,就 会 花费 
大 量 精力 去 破解 ,这 样 网 络 管理 员 就 可 以 采取 反 追 踪 措 施 去 抓 住 攻击 者 ,即使 Administrator 
账户 被 破解 也 没有 关系 ,因为 这 个 账户 根本 就 没有 任何 权限 。 

4) 关闭 不 必要 的 服务 

作为 网 络 操作 系统 ,为 了 提供 一 定 的 网 络 服务 功能 ,必须 要 开放 一 些 服 务 。 从 安全 角度 
出 发 ,开放 的 服务 越 少 ,系统 就 越 安全 。 因 此 .有 必要 将 不 需要 的 服务 关闭 。 


依次 展开 “计算 机 管理 ”>“ 服 务 和 应 用 程序 “服务 ”, 在 右 侧 窗口 中 即 可 看 到 系统 服 
务 的 内 容 , 如 图 9. 2.4 所 示 。 如 果 用 户 不 想 使 用 家 庭 群 组 来 共享 图 片 视频 及 文档 ,那么 就 可 
以 禁用 为 家 庭 群 组 提供 接收 服务 的 HomeGroup Listener; 同样 如 果 不 想 使 用 家 庭 组 , 则 可 
以 禁用 为 家 庭 组 提供 (支持 ) 服 务 的 HomeGroup Provider。Windows 7 中 可 以 禁用 的 服务 
有 很 多 ,如 适用 于 大 型 企业 环境 下 集中 管理 的 Application Management, 监 视 周 围 的 光线 状 
况 以 调节 屏幕 明 瞳 的 Adaptive Brightness. 为 系统 防火 墙 \VPN 以 及 IPSec 提供 依赖 服务 
的 Base Filtering Engine 为 智能 卡 提 供 证 书 服务 的 Certificate Propagation 等 。 
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图 9.2.4 服务 名 称 及 状态 


5) 关闭 不 必要 的 端口 

计算 机 之 间 的 通信 必须 要 开放 相应 的 端口 。 但 从 安全 角度 考虑 ,系统 开放 的 端口 越 少 
就 越 安全 ,因此 有 必要 减少 开放 的 端口 ,或 从 服务 器 角度 出 发 指定 开放 的 端口 。 如 果 不 
清楚 某 个 端口 的 作用 ,可 以 在 WindowsNsystem32\ driversNetc 中 找到 services 文件 并 使 用 
记事 本 打开 ,就 可 以 得 知 某 项 服务 所 对 应 的 端口 号 及 使 用 的 协议 。 关 闭 开 放 端 口 的 操作 
如 下 。 

第 1 步 : 进入 网 络 连接 , 右 击 “本 地 连接 ”, 选 择 “ 属 性 "命令 ,在 弹出 的 对 话 框 中 选择 
“Internet 协议 (TCP/IP) 属 性 ”, 单 击 “ 高 级 "按钮 。 在 弹出 的 对 话 框 中 ,选择 “选项 ”选项 卡 ， 
如 图 9.2.5 所 示 。 














图 9.2.5 TCP/IP 筛选 属性 


第 2 步 : 单 击 “ 属 性 ”按钮 ,弹出 如 图 9.2.6 所 示 的 对 话 框 , 勾 选 “启用 TCP/IP 筛选 " 复 
选 框 。 

第 3 步 : 如 果 主 机 是 Web 服务 器 ,只 开放 80 端口 . 则 可 选择 “TCP 端口 上方 的 “只 人 允 
许 ? 单 选 按钮 ,再 单 击 * 添 加 ”按钮 。 在 弹出 的 “添加 筛选 器 ”对话 框 中 填 人 端口 号 80, 单 击 | 第 
“确认 ”按钮 即 可 ,如 图 9. 2. 6 所 示 。 
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图 9.2.6 启用 TCP/IP 筛选 并 指定 开放 端口 





2. 通过 管理 组 策略 来 实现 系统 安全 
打开 组 策略 : 选择 "开始 ”一 运行 "命令 ,在 弹出 的 “运行 ?对 话 框 中 输入 gpedit. msc, 单 
击 “ 确 定 ” 按 钮 后 即 可 弹出 “本 地 组 策略 编辑 器 "窗口 ,如 图 9. 2. 7 所 示 。 




















图 9.2.7 本 地 组 策略 编辑 器 


1) 配置 系统 密码 策略 

配置 密码 策略 的 目的 是 使 用 户 使 用 符合 策略 要 求 的 密码 ,以 免 出 现 某 些 用 户 设置 的 密 
码 过 于 简单 ( 弱 口 令 ) 等 问题 。 配 置 系统 密码 策略 的 操作 如 下 。 

第 1 步 : 打开 “密码 策略 ”"。 在 “本 地 组 策略 编辑 器 ”窗口 中 依次 展开 “计算 机 配置 ”一 
“Windows 设置 ”>“ 安 全 设置 ”>“ 账 户 策略 ”>“ 密 码 策略 ”在 右 侧 窗 口中 显示 可 进行 配置 
的 密码 策略 ,如 图 9.2.8 所 示 。 
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图 9.2.8 密码 策略 


第 2 步 : 配置 密码 复杂 性 要 求 。 右 击 “ 密 码 必须 符合 复杂 性 要 求 ” 





项 ,选择 * 属 性命 
应 用 ”和 “确定 ” 按 


选 
令 , 弹 出 如 图 9. 2. 9 所 示 的 对 话 框 。 选 择 “ 已 启用 " 单 选 按钮 ,再 分 别 单 击 “ 应 用 
钮 , 即 可 启动 密码 复杂 性 设置 。 
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图 9.2.9 配置 密码 复杂 性 


用 户 在 设置 密码 时 必须 符合 相应 的 规则 才能 成 功 .如 密码 不 能 与 账户 同名 \ 长 度 至 少 是 
6 位 字符 、 至 少 使 用 三 种 类 型 的 字符 (字母 区 分 大 小 写 ) 等 

第 3 步 : 配置 密码 长 度 。 右 击 “ 密 码 长 度 最 小 值 ” 选 项 ,选择 “属性 ”命令 ,如 图 9. 2. 10 
所 示 。 输 入 字符 的 长 度 值 , 再 分 别 单 击 “应 用 ”和 “确定 ”按钮 即 可 。 
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图 9.2.10 配置 密码 长 度 


第 4 步 : 配置 密码 最 长 使 用 期 限 。 右 击 “ 密 码 最 长 使 用 期 限 ? 选 项 ,选择 “属性 ”命令 ,如 
图 9. 2. 11 所 示 。 输 入 密码 的 过 期 时 间 ( 本 例 为 30 天 ,系统 默认 为 42 天 ) , 单 击 “确定 : 按 人 
即 可 。 
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图 9.2.11 配置 密码 最 长 使 用 期 限 


第 5 步 : 配置 密码 最 短 使 用 期 限 。 配置 “密码 最 短 存留 期 "的 方法 类 似 于 “密码 最 长 存 
留 期 ”, 如 图 9. 2. 12 所 示 。“ 密 码 最 短 存留 期 "是 指 用 户 在 更 改 密码 前 使 用 的 时 间 ( 天 )。 

“密码 最 短 存留 期 "为 “0” 则 意味 着 用 户 可 以 立即 修改 密码 。 另 外 ,“ 密 码 最 短 存留 期 ” 必 
须 小 于 “密码 最 长 存留 期 ”( 本 例 为 5) ,除非 “密码 最 长 存留 期 ”为 0。 
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图 9.2.12 配置 密码 最 短 使 用 期 限 


第 6 步 : 配置 强制 密码 历史 。 右 击 “ 强 制 密码 历史 ”选项 ,选择 “属性 ”命令 ,弹出 如 
图 9. 2. 13 所 示 的 对 话 框 。 设 置 “ 保 留 密码 历史 ”的 个 数 (本 例 为 3) ,再 单 击 “确定 "按钮 即 可 。 








图 9.2.13 配置 密码 历史 


“强制 密码 历史 ”的 意思 是 用 户 在 修改 密码 时 必须 满足 所 规定 记 住 密码 的 个 数 而 不 能 连 
续 使 用 旧 密 码 。 本 例 选 定 "3”, 说 明 用 户 必须 在 第 4 次 更 换 密码 时 才能 重复 使 用 第 1 次 使 用 
的 密码 。 

上 述 系 统 * 密 码 策略 ”的 各 项 配置 结果 如 图 9.2. 14 所 示 。 
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图 9. 2.14 ”密码 策略 配置 结果 


2) 配置 系统 账户 策略 

第 1 步 : 展开 账户 锁定 策略 。 在 “本 地 组 策略 编辑 器 "窗口 中 依次 展开 “计算 机 配置 ”一 
“Windows 设置 ”>“ 安 全 设置 >“ 账户 策略 ”>“ 账 户 锁定 策略 ”, 在 右 侧 窗口 中 显示 可 进行 
配置 的 账户 策略 ,如 图 9. 2. 15 所 示 。 




















图 9.2.15 账户 锁定 策略 


“账户 锁定 阅 值 ”规定 的 是 当 用 户 登录 系统 时 .导致 账户 被 锁定 的 登录 失败 的 次 数 。 这 
样 可 避免 非法 用 户 无 限制 地 进行 密码 尝试 。 这 类 似 于 日 常生 活 中 人 们 在 ATM 机 上 取款 时 
允许 输入 错误 密码 的 次 数 。 

“账户 锁定 时 间 ” 是 指 用 户 登 录 系 统 时 到 达 锁 定 闵 值 后 ,账户 被 锁定 的 时 间 ( 分 )。 该 参 
数 必须 在 设置 “账户 锁定 阔 值 ?后 才能 设置 ,如 果 * 账 户 锁定 时 间 ? 为 0, 则 意味 着 此 账户 会 一 
直 锁 定 直 至 管理 员 解 除 对 此 账户 的 锁定 。 

“ 重 置 账户 锁定 计数 器 "是 指 当 用 户 账户 被 锁定 后 将 用 户 登 录 失 败 计数 器 复位 到 0 所 需 
要 的 时 间 ( 分 )。 该 参数 必须 在 设置 “账户 锁定 阀 值 ”后 才能 设置 。 

第 2 步 : 配置 账户 锁定 阀 值 。 右 击 * 账 户 锁定 阔 值 ?选项 ,选择 "属性 ?命令 ,弹出 如 
图 9. 2. 16 所 示 的 对 话 框 。 设 置 无 效 登 录 锁 定 账户 的 次 数 , 单 击 * 确 定 ” 按 钮 即 可 。 











图 9.2.16 配置 账户 锁定 阔 值 


将 "账户 锁 定 阔 值 ” 设 定 ( 非 0) 完 成 后 .系统 会 建议 将 “账户 锁定 时 间 ” 和 “ 重 置 账户 锁定 
计数 器 ”两 项 分 别 设 定 为 30 分 钟 和 30 分 钟 以 后 ,其 设置 效果 如 图 9. 2. 17 所 示 。 

3) 配置 审核 策略 

审核 策略 是 对 系统 发 生 的 事件 或 进程 进行 记录 的 过 程 ,网 络 管理 员 可 以 根据 对 事件 的 
记录 检查 系统 发 生 故 障 的 原因 等 ,这 可 对 维护 系统 起 到 参考 作用 。 

在 “本 地 组 策略 编辑 器 ”窗口 中 依次 展开 “计算 机 配置 "一 “Windows 设置 ”一 安全 设 
置 ” 一 “本 地 策略 ”一 “审核 策略 ”, 在 右 侧 窗口 中 显示 可 进行 配置 的 审核 策略 。 

在 “审核 策略 "中 可 配置 项 较 多 ,实际 应 用 中 需要 配置 多 少 “ 审 核 策略 "项 ,由 网 络 管理 员 
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图 9.2.17 账户 锁定 策略 配置 效果 


根据 具体 情况 确定 。 审 核 策 略 包括 * 审 核 策略 更 改 “ 审 核 登录 事件 “审核 对 象 访问 等 项 。 
有 具体 审核 策略 项 的 安全 设置 一 般 包括 “无 审核 成功“ 失败 "等 。“ 成 功 "项 是 指 对 事件 或 进 
程 成 功 的 情况 进行 记录 ;“ 失 败 ” 项 是 指 对 事件 或 进程 失败 的 情况 进行 记录 。 

下 面 仅 举 例 说 明 配置 审核 策略 项 的 方法 : 右 击 某 项 策略 ,如 “审核 登录 事件 ”, 选 择 “ 属 
性 ”命令 ,弹出 如 图 9. 2. 18 所 示 的 对 话 框 。 勾 选 “成 功 ” 和 “失败 ” 复 选 框 , 单 击 “ 确 定 ” 按 钮 ， 
系统 对 登录 成 功 和 失败 的 事件 都 会 进行 记录 ,设置 效果 如 图 9. 2. 19 所 示 。 



































9.2.19 配置 审核 事件 成 功 


4) 用 户 权限 分 配 

“用 户 权 限 分 配 ” 是 对 系统 中 用 户 或 用 户 组 的 权限 进行 分 配 的 策略 项 。 一 般 情况 下 可 采 
用 默认 设置 ,网 络 管理 员 也 可 根据 系统 的 实际 情况 进行 修改 。 

配置 方法 : 在 “本 地 组 策略 编辑 器 "窗口 中 依次 展开 “计算 机 配置 ">“Windows 设置 ”一 
“安全 设置 ">“ 本 地 策略 >“ 用户 权限 分 配 ”, 在 右 侧 窗口 中 显示 出 系统 默认 用 户 ( 组 ) 所 具 
有 的 权限 ,如 图 9. 2. 20 所 示 。* 用 户 权限 分 配 ” 中 的 配置 策略 项 较 多 ,在 实际 网 络 系统 中 需 
要 配置 多 少 * 用 户 权 限 分 配 ” 项 ,可 由 网 络 管理 员 根 据 实际 情况 对 系统 中 “用 户 权 限 分 配 ” 的 
各 策略 项 进行 配置 。 
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图 9.2.20 配置 用 户 权限 


5) 配置 安全 选项 

配置 方法 : 在 "本 地 组 策略 编辑 器 "窗口 中 依次 展开 “计算 机 配置 ">“Windows 设置 ”一 
“安全 设置 ">"“ 本 地 策略 ">" 安全 选项 ”, 在 右 侧 窗口 中 显示 可 配置 的 安全 选项 策略 。"“ 安 全 选 
项 "中 的 配置 项 较 多 ,在 实际 的 网 络 系统 中 需要 配置 多 少 “安全 选项 "项 ,需要 网 络 管理 员 根 据 
实际 情况 进行 判断 和 配置 。 下 面 以 配置 “交互 式 登 录 : 不 显示 最 后 的 用 户 名 ”为 例 进行 说 明 。 

默认 情况 下 ,系统 保留 最 后 一 个 登录 用 户 的 账户 。 但 这 样 会 使 非法 用 户 在 尝试 登录 系 
统 时 ,利用 已 知 的 用 户 账户 ,其 只 需 尝试 用 户 的 密码 即 可 ,使 系统 减少 了 一 层 安 全 屏障 。 因 
此 可 以 采用 配置 安全 策略 方法 使 系统 不 显示 最 后 一 个 登录 系统 的 用 户 账户 。 其 配置 操作 如 
下 : 右 击 策略 里 的 “交互 式 登 录 : 不 显示 最 后 的 用 户 名 ”选项 ,选择 “属性 ”命令 。 在 弹出 的 对 话 
框 中 选择 “已 启用 ” 单 选 按 钮 ,再 单 击 “ 确 定 "按钮 ,该 项 策略 已 启用 ,其 结果 如 图 9. 2. 21 所 示 。 











图 9.2.21 配置 不 显示 最 后 的 用 户 名 
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6) 隐藏 驱动 器 

在 工作 中 有 时 因 特 殊 用 途 ,会 对 用 户 隐藏 一 些 驱动 器 ,在 组 策略 中 可 以 实现 这 一 目的 。 
其 配置 操作 如 下 。 

第 1 步 : 在 “本 地 组 策略 编辑 器 ”窗口 中 依次 展开 “用 户 配 置 " 一 “管理 模板 ”一 
“Windows 组 件 ” 一 “Windows 资源 管理 器 ”, 在 右 侧 窗口 列 出 很 多 “设置 "项 及 其 “状态 ”。 

第 2 步 : 右 击 “隐藏 “我 的 电脑 ' 中 的 这 些 指定 的 驱动 器 ”, 选 择 “ 属 性 ”命令 。 

第 3 步 : 在 弹出 的 如 图 9. 2. 22 所 示 属 性 窗口 中 ,选择 “已 启用 ” 单 选 按 钮 ,并 在 “选择 下 








图 9.2.22 限制 驱动 器 设置 


7) 配置 开始 菜单 和 任务 栏 

在 某 些 特殊 场所 的 应 用 中 ,需要 对 “开始 "菜单 和 "任务 栏 " 做 特殊 的 管理 。 如 在 网 吧 ,一 
般 不 允许 用 户 使 用 “运行 "命令 ,不 允许 注销 用 户 等 ,这 些 要 求 都 可 以 通过 配置 组 策略 来 
实现 。 

第 1 步 : 在 “本 地 组 策略 编辑 器 ”窗口 中 依次 展开 “用 户 配 置 ">“ 管 理 模板 ”>“ 开 始 ” 菜 
单 和 任务 栏 ,在 右 侧 窗口 中 显示 出 很 多 “设置 ”项 及 其 “状态 ”。 

第 2 步 : 如 果 需 要 在 “开始 "菜单 中 取消 “搜索 ”命令 , 则 配置 “从 Tr 开始 1 菜单 中 删除 “ 搜 
索 "链接 ”为 “已 启用 ” 即 可 ,如 图 9. 2. 23 所 示 。 

3. 通过 管理 注册 表 来 实现 系统 安全 

注册 表 (Registry) 是 Windows 系统 中 的 重要 数据 库 , 用 于 存储 计算 机 软 硬 件 系 统 和 应 
用 程序 的 设置 信息 。 因 此 ,提醒 用 户 在 不 清楚 某 项 注册 表 含义 的 情况 下 , 切 勿 进行 修改 或 删 
除 ,否则 系统 可 能 会 被 破坏 。 

1) 注册 表 的 结构 

选择 “开始 ”一 运 行 ” 命 令 , 在 “运行 "对话 框 中 输入 regedit 并 执行 , 即 可 进入 注册 表 编 
辑 器 ,注册 表 结 构 如 图 9. 2. 24 所 示 。 
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图 9.2.24 “注册 表 编 辑 器 ”窗口 


注册 表 结 构 : 在 左 侧 窗口 中 “我 的 电脑 ”项 下 有 五 个 分 支 , 每 个 分 支 名 都 以 HKEY 开头 
( 称 为 主键 KEY) ,展开 后 可 以 看 到 主键 还 包含 多 级 的 次 键 (SubKEY) ,注册 表 中 的 信息 就 
是 按照 多 级 的 层次 结构 组 织 的 。 当 选择 某 一 主键 或 次 键 时 ,右边 窗口 中 显示 的 是 所 选 主键 
或 次 键 包 含 的 一 个 或 多 个 键 值 (Value)。 键 值 由 键 值 名 称 (ValueName) 和 数据 (ValueData) 
组 成 。 

主键 HKEY_CLASSES_ROOT 用 于 管理 文件 系统 ,记录 的 是 Windows 操作 系统 中 所 
有 的 数据 文件 信息 。 当 用 户 双 击 一 个 文档 或 程序 时 ,系统 可 以 通过 这 些 信息 启动 相应 的 应 
用 程序 来 打开 文档 或 程序 。 

主键 HKEY_CURRENT_USER 用 于 管理 当前 用 户 的 配置 情况 。 在 该 主键 中 可 以 查 
阅 当前 计算 机 中 登录 用 户 的 相关 信息 ,包括 个 人 程序 、 桌 面 设置 等 。 

主键 HKEY_LOCAL_MACHINE 用 于 管理 系统 中 所 有 硬件 设备 的 配置 情况 ,该 主键 
中 存放 用 来 控制 系统 和 软件 的 设置 ,如 总 线 类 型 .设备 驱动 程序 等 。 由 于 这 些 设 置 是 针对 使 
用 Windows 系统 的 用 户 而 设置 的 ,是 公共 配置 信息 ,与 具体 用 户 无 关 。 

主键 HKEY_USERS 用 于 管理 系统 中 所 有 用 户 的 配置 信息 。 系 统 中 每 个 用 户 的 信息 
都 保存 在 该 文件 夹 中 ,如 用 户 使 用 的 图 标 、 开 始 菜单 的 内 容 、 字 体 、 颜 色 等 。 

主键 HKEY_CURRENT_CONFIG 用 于 管理 当前 用 户 的 系统 配置 情况 ,其 配置 信息 是 
从 HKEY_LOCAL_MACHINE 中 映射 出 来 的 。 

2) 注册 表 的 备份 与 还 原 ( 导 出 与 导入 ) 

因为 注册 表 中 保存 的 是 操作 系统 的 重要 配置 信息 ,在 对 注册 表 进 行 操作 前 最 好 先 对 注 
册 表 做 好 备份 。 下 面 介绍 对 注册 表 进 行 备 份 及 还 原 的 操作 。 
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导出 注册 表 ( 备 份 ): 在 “注册 表 编 辑 器 ”窗口 中 选择 “文件 ”一 “导出 ”命令 ,弹出 如 
图 9. 2. 25 所 示 的 对 话 框 ,选择 保存 路 径 , 并 在 “文件 名 "文本 框 中 输入 所 保存 的 注册 表 文 件 
的 名 称 , 再 选择 导出 范围 (全 部 或 分 支 ), 最 后 单 击 “ 保 存 " 按 钮 。 这 样 即 可 完成 注册 表 的 导出 
工作 。 











2017/1/12 星期 四 下 午 1:52 
2016/12/13 星 央 二 上 午 9:35 
2016/3/16 星 基 三 上午 11:48 
2015/12/15 星期二 下 午 3:31 
2015/6/13 星期 六 上 午 2:21 
2015/6/13 星 由 六 上 午 221 




















图 9. 2.25 “导出 注册 表 文 件 ” 对 话 框 


导入 注册 表 ( 恢 复 ): 当 注 册 表 出 现 错误 时 ,可 以 将 原来 导出 的 注册 表 进 行 导 入 (恢复 ) 
操作 以 恢复 注册 表 。 选 择 * 文 件 ”->“ 导 入 "命令 ,在 弹出 的 对 话 框 中 查找 到 原来 所 导出 的 注 
册 表 文件 , 单 击 “ 打 开 ? 按 钮 , 即 可 完成 注册 表 的 导入 工作 。 

3) 利用 注册 表 进 行 系统 的 安全 配置 

(1) 禁止 建立 空 连接 。“ 空 连接 ”实质 上 是 建立 的 匿名 连接 。 在 Windows 7 中 ， 
IPC $ (Internet Process Connection) 是 共享 “命名 管道 ”的 资源 , 它 是 为 了 让 进程 间 通 信和 而 
开放 的 命名 管道 。 可 以 通过 验证 用 户 名 和 密码 获得 相应 的 权限 ,在 远程 管理 计算 机 和 查看 
计算 机 的 共享 资源 时 使 用 。 利 用 IPC $ ,连接 者 可 以 与 目标 主机 建立 一 个 空 的 连接 而 无 须 
用 户 名 与 密码 。 利 用 这 个 空 连接 ,连接 者 还 可 以 得 到 目标 主机 上 的 用 户 列表 。Windows 系 
统 默认 情况 下 是 开放 IPC$ 的 ,通常 所 说 的 空 连接 漏洞 就 是 指 IPCS$ 漏 洞 。 

禁止 建立 空 连接 的 方法 : 在 “注册 表 编 辑 器 ”窗口 中 展开 HKEY_LOCAL_MACHINE-~ 
SYSTEM->CurrentControlSet>Control-~Lsa 注册 表 项 .双击 右 侧 窗口 中 的 restrictanonymous ,在 
弹出 的 对 话 框 中 将 其 键 值 改 为 1 即 可 ,如 图 9. 2. 26 所 示 。 

(2) 不 显示 系统 最 后 登录 的 用 户 账户 。 操 作 过 程 如 下 。 

第 1 步 : 在 “注册 表 编 辑 器 ”窗口 中 展开 HKEY_LOCAL _MACHINE 一 SOFTWARE 一 
Microsoft->Windows NT->CurrentVersion-> Winlogon, 右 击 Winlogon 选项 ,选择 "新建 ”一 “ 字 
符 串 值 ” 命 令 ,如 图 9. 2. 27 所 示 。 
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图 9.2.27 注册 表 登 录 项 
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第 2 步 : 在 右 侧 窗口 中 ,出 现 “ 新 值 #1” 项 ,如 图 9.2.28 所 示 。 布 击 “ 新 值 #1” 项 ,选择 
“ 重 命名 ”命令 ,输入 新 名 称 DONTDISPLAYLASTUSERNAME。 再 右 击 该 项 ,选择 “ 修 
改 " 命 令 , 在 弹出 的 如 图 9. 2. 29 所 示 的 对 话 框 中 .将 “数值 数据 ”设置 为 1, 单 击 “ 确 定 ” 按 钮 


即 可 。 
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图 9.2.28 新 建 字符 串 值 
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图 9.2.29 为 新 建 字 符 串 值 赋值 


(3) 禁止 光盘 的 自动 运行 。 上 默认 情况 下 , 当 将 光盘 插入 到 计算 机 时 ,Windows 会 执行 自 
动 运行 功能 ,光盘 中 的 应 用 程序 就 会 被 自动 运行 。 这 样 ,如 果 光 盘 中 的 应 用 程序 具有 危害 
性 ,系统 的 安全 性 就 会 受到 威胁 。 通 过 修改 注册 表 , 就 可 以 达到 禁止 光盘 自动 运行 的 日 的 。 在 
“注册 表 编 辑 器 ”窗口 中 展开 HKEY_LOCAL _MACHINE~>SYSTEM-> CurrentControlSet~ 
Services 一 Cdrom, 如 图 9. 2. 30 所 示 。 右 击 右 侧 窗口 中 的 AutoRun 项 ,选择 “修改 ”命令 ,在 
弹出 的 “编辑 DWORD 值 ?对 话 框 中 的 “数值 数据 "文本 框 中 输入 0, 即 可 禁止 光盘 的 自动 运行 。 
注册 表 编 竹器 

文件 开 】 雹 要 区 ) 查看 Q) 
田 入 BTS a 

四 国 Browser 


田园 cbidtzk 一 


8 + nt [ep] KotoRnAly 


[ed]DependDnGr oup 
[ed]Displayline 
国 ErrorControl 
加 erom 
加 Imagepath 

入 cdrae 圈 ster+ 

由 国 cousyshpy 图 | 国 7 

[J » < 


图 9.2. 30 注册 表 中 禁止 光驱 自动 运行 


(4) 修改 系统 默认 的 TTL 值 。TTL( 生 存 时 间 ) 是 IP 协议 包 中 的 一 个 值 ,其 作用 是 提 
醒 系 统 数 据 包 在 网 络 中 传输 的 时 间 是 否 太 长 而 应 被 委 弃 。 当 人 们 对 网 上 主机 进行 Ping 操 
作 时 ,本 地 机 器 会 发 出 一 个 数据 包 ,数据 包 经 过 一 定数 量 的 路 由 器 传送 到 目的 主机 。 当 数据 
包 通 过 一 个 路 由 器 后 ,TTL 值 就 自动 减 1。 如 果 TTL 值 减少 到 0 时 ,数据 包 还 没有 传送 到 
目的 主机 ,那么 数据 包 就 自动 丢弃 。 当 人 们 使 用 Ping 工具 连接 时 ,Ping 的 结果 会 显示 对 方 
系统 的 TTL 值 , 如 图 9.2. 31 所 示 。 

由 于 不 同 操作 系统 默认 的 TTL 值 不 同 ,攻击 者 可 以 根据 TTL 值 来 判断 系统 主机 的 操 
作 系统 , 进 而 采取 相应 的 针对 特定 系统 的 漏洞 扫描 等 操作 。 为 了 系统 的 安全 ,有 必要 对 默认 
TTL 值 进行 修改 。 如 果 将 系统 默认 的 TTL 值 修改 为 非 默认 数值 .或 故意 修改 为 其 他 操作 
系统 的 TTL 值 , 那 么 当 攻 击 者 检测 到 TTL 值 时 ,再 采用 针对 该 系统 的 攻击 时 就 不 会 成 功 。 

修改 系统 默认 TTL 值 的 操作 步 又 为 : 在 “注册 表 编 辑 器 "窗口 中 展开 HKEY_LOCAL_ 
MACHINE ->SYSTEM->~CurrentControlSet-> Services> Tepip > Parameters, 右 击 Parameters， 
选择 "新 建 ”一 "DWORD 值 ” 命 令 , 如 图 9. 2. 32 所 示 。 将 新 建 项 命名 为 defaultTTL。 右 击 
defaultTTL 项 ,选择 “修改 ”命令 ,在 弹出 的 “编辑 DWORD 值 ” 对 话 框 中 ,将 “基数 ”项 设置 




















C: VIIIDOYSVsystes32Vcmd exe 


Microsoft Windows [ 取 本 5.2.3798] 
>》 版权 所 1985 83 Microsoft Corp. 


Documents and Settings\Adninistrator 


>ping 127.8.0.1 
Pinging 12 @.1 with 32 bytes of data: 


ply from 127.8.0.1 
Reply from 12 -0.1 
Reply from 1 
1 


Reply from : bytes=32 tineCins TIL 





图 9.2.31 TTL 的 显示 





为 “十 进 制 ”, 在 “数值 数据 "文本 框 中 输入 希望 系统 显示 的 TTL 值 ( 小 于 或 等 于 
图 9.2. 33 所 示 。 
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图 9.2.3 
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图 9.2.33 修改 默认 TTL 值 





统 后 再 次 使 用 Ping 命令 ,显示 界面 的 TTL 值 即 为 新 设 定 的 值 ,如 图 9. 2. 34 
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Documents and Settings\jyli>cd 


ing 127.8.8.1 


Pinging 127.8.86.1 with 32 bytes of data: 

Reply from 127.9. TL=111 
epl m TTL=111 
eply TTL=111 
Reply from 1 ime<《 TTL=111 / 





图 9.2.34 显示 修改 后 的 TTL 值 


(5) 禁止 远程 修改 注册 表 。 为 了 保护 系统 安全 ,一 般 情况 下 应 该 拒绝 远程 用 户 修 改 注 
册 表 。 其 操作 步骤 为 : 在 “注册 表 编 辑 器 ”窗口 中 展开 HKEY_LOCAL_MACHINE 一 
SYSTEM—>CurrentControlSet->Control-> Secure pipeservers>winreg 项 。 新 建 DWORD 
项 ,将 其 名 称 命名 为 RemoteRegAccess, 其 值 设 置 为 1, 如 图 9. 2. 35 所 示 。 这 样 , 系 统 即 可 
拒绝 远程 修改 注册 表 。 
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图 9.2.35 配置 禁 程 修改 注册 表 


9.2.2 Windows Server 2008 系统 的 安全 设置 


Windows Server 2008 系统 凭借 超 强 的 功能 及 更 胜 一 筹 的 安全 优势 ,吸引 了 许多 网 络 
管理 员 和 网 络 用 户 。 利 用 其 许多 新 增 的 安全 功能 ,我 们 可 以 非常 轻松 地 对 本 地 系统 进行 全 
方位 .立体 式 的 防护 。 但 这 并 不 意味 着 Windows Server 2008 系统 的 安全 性 能 就 无 懈 可 击 ， 
因为 在 不 同 的 使 用 环境 下 ,系统 表现 出 来 的 安全 防范 能 力 是 不 一 样 的 ,一 些 细节 因素 仍然 可 
ee Windows Server 2008 系统 的 安全 。 为 此 ,我 们 还 需要 在 平时 多 注重 一 些 安全 细节 ， 

这 样 才能 让 Windows Server 2008 系统 的 安全 更 加 可 靠 。 下 面 介 绍 几 则 保护 Windows 
Server 2008 系统 安全 的 设置 与 操作 。 
. 拒绝 修改 防火 墙 规则 

Windows Server 2008 系统 新 增加 的 高 级 安全 防火 墙 功能 ,可 以 允许 用 户 根据 实际 需 
要 自行 定义 安全 规则 ,从 而 实现 更 加 灵活 的 安全 防护 目的 。 不 过 ,该 防火 墙 还 有 一 些 明 显 不 
足 , 对 它 进行 的 一 些 设 置 及 创建 的 安全 规则 ,几乎 都 是 直接 存储 在 本 地 Windows Server 














2008 系统 注册 表 中 的 ,攻击 者 只 需要 编写 简单 的 攻击 脚本 代码 ,就 能 轻松 地 通过 修改 对 应 
系统 注册 表 中 的 内 容 , 达 到 修改 防火 墙 安全 规则 的 目的 ,从 而 可 以 轻松 跨越 高 级 安全 防火 墙 
的 限制 。 可 以 通过 如 下 设置 来 达到 拒绝 非法 攻击 者 通过 修改 系统 注册 表 中 的 相关 键 值 ,以 
跨越 高 级 安全 防火 墙 功能 的 限制 。 

(1) 选择 “开始 ”>“ 运 行 ”命令 ,在 “运行 ”对话 框 中 输入 regedit, 单 击 “ 确 定 ” 按 钮 后 即 打 
开 对 应 系统 的 注册 表 控 制 窗口 。 

(2) 在 左 侧 窗口 中 ,依次 展开 HKEY_LOCAL_MACHINE->SYSTEM->~>ControlSet001 一 
Services>SharedAccess>Parameters>FirewallPolicy->FirewallRules, 在 该 注册 表 子 项 对 
应 的 右 侧 窗口 中 保存 了 许多 防火 墙 的 安全 规则 以 及 设置 参数 ,如 图 9. 2. 36 所 示 。 
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图 9. 2.36 FirewallRules 子 项 及 权限 


(3) 如 果 攻 击 者 具有 访问 FirewallRules 注册 表 子 项 的 权限 ,那么 他 就 能 随意 修改 该 分 
支 下 面 的 各 个 安全 规则 并 设置 参数 。 而 在 默认 状态 下 普通 用 户 是 可 以 访问 目标 分 支 的 。 因 
此 我 们 必须 限制 Everyone 账号 来 访问 FirewallRules 注册 表 子 项 。 右 击 FirewallRules 注 
册 表 子 项 ,在 弹出 的 快捷 菜单 中 选择 “权限 ”命令 ,打开 目标 注册 表 子 项 的 权限 设置 对 话 框 。 
再 单 击 该 对 话 框 中 的 “添加 ”按钮 ,打开 用 户 账 号 选择 对 话 框 ,从 中 选择 Everyone 账号 并 将 
它 添加 进来 。 然 后 选择 Everyone 账号 ,并 将 对 应 该 账号 的 “完全 控制 "权限 调整 为 “拒绝 ”， 
单 击 “ 确 定 ” 按 钮 ,如 图 9. 2. 36 所 示 。 这 样 ,攻击 者 就 不 能 随意 修改 Windows Server 2008 
系统 高 级 安全 防火 墙 的 安全 规则 并 设置 参数 了 。 

2. 使 用 加 密 解 密 保 护 文件 安全 

为 防止 他 人 趁 自己 不 在 时 偷 看 其 计算 机 中 的 重要 文件 ,可 使 用 专业 工具 来 加 密 、 解 密 重 
要 文件 。Windows Server 2008 系统 自身 就 集成 了 加 密 、 解 密 功能 ,只 是 在 默认 状态 下 使 用 
该 功能 有 些 不 太 方便 ,因此 很 少 人 会 使 用 该 功能 来 保护 本 地 系统 中 重要 文件 的 安全 。 我 们 
可 以 通过 如 下 设置 将 Windows Server 2008 系统 自 带 的 加 密 、 解 密 功 能 集成 到 快捷 菜单 中 ， 
以 便 在 打开 目标 文件 的 快捷 菜单 后 可 以 轻松 地 选用 加 密 、 解 密 功能 来 保护 文件 的 安全 。 
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(1) 选择 “开始 ”>“ 运 行 "命令 ,在 “运行 ”对话 框 中 输入 regedit, 单 击 “ 确 定 ” 按 钮 后 即 打 
开 对 应 系统 的 注册 表 控 制 窗 口 。 

(2) 在 左 侧 窗口 中 依次 展开 HKEY_CURRENT_USER 一 Software 一 Microsoft 一 
Windows 一 CurrentVersion>Explorer> Advanced, 然 后 右 击 Advanced 注册 表 子 项 ,在 弹 
出 的 快捷 菜单 中 选择 “新 建 > 一 “Dword 值 "命令 , 同 时 将 新 创建 的 双 字 节 值 名 称 设置 为 
EncryptionContextMenu, 如 图 9. 2. 37 所 示 。 
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WH WebVie 











图 9.2.37 Advanced 子 项 及 新 建 Dword 值 


(3) 双击 EncryptionContextMenu 注册 表 键 值 ,打开 双 字 节 值 对 话 框 ,在 其 中 设置 十 进 
制 数 字 *1”, 再 单 击 “ 确 定 ” 按 钮 执行 保存 操作 .最 后 按 F5 功能 键 刷新 系统 注册 表 。 这 样 ,在 
打开 某 个 重要 文件 的 快捷 菜单 时 ,就 能 发 现 其 中 包含 加密“ 解密 ”等 功能 选项 ,利用 这 些 功 
能 选项 就 能 很 轻松 地 保护 文件 安全 了 。 

3. 及 时 监控 恶意 创建 账号 

有 时 ,一 些 攻击 者 会 利用 木马 程序 偷偷 地 在 系统 中 恶意 创建 登录 账号 ,以 便 日 后 可 以 利 
用 这 些 账号 对 本 地 系统 实施 非法 攻击 。 我 们 可 以 巧妙 地 利用 Windows Server 2008 系统 的 
附加 任务 功能 添加 自动 报警 任务 ,确保 系统 中 有 新 的 登录 账号 生成 时 ,及 时 向 系统 管理 员 发 
出 报警 信息 ,确保 系统 管理 员 在 第 一 时 间 判 断 出 新 创建 的 登录 账号 是 否 合法 。 其 具体 的 操 
作 设 置 如 下 。 

第 1 步 : 选择 “开始 ">" 运行” 命令 ,在 “运行 "对 话 框 中 输入 secpol. msc, 按 “确定 "按钮 
后 即 进入 "本 地 安全 策略 "设置 窗口 。 从 该 窗口 的 左 侧 逐 一 展开 ”安全 设置 "一 “本 地 策略 ”一 
“审核 策略 ”“, 再 从 右 侧 窗 口中 找到 并 右 击 “审核 账户 管理 ”组 策略 选项 ,选择 "属性 ”命令 , 弹 
出 如 图 9. 2. 38 所 示 的 设置 对 话 框 ,将 该 对 话 框 中 色 先 “成功” 和 “失败” 复 选 框 ,再 单 击 “ 确 
定 ” 按 钮 保存 好 上 述 设置 操作 。 

第 2 步 : 右 击 Windows Server 2008 系统 桌面 中 的 “计算 机 ”图 标 , 从 弹出 的 快捷 菜单 中 
选择 “管理 ”命令 ,弹出 “计算 机 管理 "窗口 。 在 该 窗口 的 左 侧 依 次 展开 “系统 工具 ”一 “本 地 用 
户 和 组 ”>“ 用 户 ”, 再 右 击 “ 用 户 ” 选 项 .并 在 弹出 的 快捷 菜单 中 选择 “新 用 户 ” 命 令 , 在 其 后 出 
现 的 新 用 户 创建 对 话 框 中 ,随意 创建 一 个 用 户 账号 (如 ysliul) ,一 旦 创建 成 功 ,系统 就 会 自 
动 生成 一 个 登录 账号 创建 成 功 的 日 志 记 录 . 如 图 9.2. 39 所 示 。 

第 3 步 : 单 击 “ 计 算 机 管理 ” 左 侧 窗口 中 的 “事件 查看 器 "选项 ,打开 “事件 查看 器 ”控制 
台 窗 口 。 在 该 控制 台 窗 口 的 左 侧 依 次 展开 “Windows 日 志 ” 一 “系统 ”, 并 从 目标 分 支 下 找到 
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图 9.2.39 创建 本 地 新 用 户 


刚刚 生成 的 新 用 户 账号 创建 成 功 的 日 志 记 录 。 再 右 击 该 记录 选项 ,在 弹出 的 快捷 菜单 中 选 
择 “ 将 任务 附加 到 此 事件 ”命令 ,弹出 "创建 基本 任务 向 导 ” 对 话 框 ,如 图 9. 2. 40 所 示 。 











9. 2.40 创建 常见 任务 计划 


第 4 步 : 按照 向 导 提 示 将 基本 任务 名 称 设置 为 “账号 创建 报警 ”, 将 该 任务 执行 的 操作 
设置 为 “显示 消息 ”, 然 后 设置 消息 标题 为 “谨防 账号 被 恶意 创建 ", 将 消息 内 容 设置 为 “有 新 
用 户 账号 刚刚 被 创建 ,请 系统 管理 员 立 即 验证 其 合法 性 ”, 最 后 单 击 “ 完 成 ”按钮 结束 基本 任 
务 的 附加 操作 。 这 样 , 当 本 地 系统 中 有 新 用 户 账 号 被 创建 时 ,系统 屏幕 上 会 立即 出 现 “ 有 新 
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用 户 账 号 刚刚 被 创建 ,请 系统 管理 员 立 即 验 证 其 合法 性 ”的 提示 信息 ,看 到 这 样 的 提示 后 系 
统管 理 员 就 能 及 时 监控 到 有 人 在 创建 用 户 账号 了 ,此 时 只 要 采取 针对 性 措施 进行 应 对 就 能 
保证 本 地 系统 的 安全 运行 。 

4. 防止 系统 安全 级 别 意外 降低 

在 公共 场合 下 ,与 他 人 共用 一 台 计 算 机 是 经 常会 出 现 的 情况 , 当 我 们 将 本 地 计算 机 的 
I 下 浏览 器 安全 级 别 调整 合适 后 ,肯定 不 想 让 其 他 人 再 随意 降低 它 的 安全 级 别 , 毕 竞 随 意 降 
低 正 浏 览 器 的 安全 级 别 ,容易 导致 本 地 计算 机 遭遇 网 络 病毒 或 恶意 木马 的 袭击 ,最 终 造成 
所 有 人 都 不 能 正常 使 用 计算 机 。 为 了 防止 系统 安全 级 别 意外 降低 ,可 采取 如 下 操作 进行 设置 。 

第 1 步 : 选择 "开始 ”一 “运行 ”命令 ,在 “运行 对话 框 中 输入 gpedit. msc, 单 击 “ 确 定 ” 按 
钮 后 即 可 弹出 “本 地 组 策略 编辑 器 "窗口 。 

第 2 步 : 在 该 控制 台 左 侧 窗 口中 依次 展开 “用 户 配 置 " 一 “管理 模板 ”>“Windows 组 件 ” 一 
InternetExplorer>“Internet 控制 模板 ”, 再 在 右 侧 窗口 中 双击 “禁用 安全 页 ”选项 ,弹出 如 
图 9.2.41 所 示 的 “禁用 安全 页 属性 ”对 话 框 。 设 置 禁用 安全 页 为 “已 启用 ”状态 , 单 击 “ 确 
定 ” 按 钮 保存 好 设置 操作 。 这 样 ,其 他 人 日 后 即使 进入 到 系统 的 Internet 选项 设置 窗口 ,也 
不 能 进入 其 中 的 安全 设置 页 面 ,因为 该 页 面 已 经 被 自动 隐藏 起 来 了 ,他 人 不 能 随意 在 安全 设 
置 页 面 中 改动 本 地 计算 机 的 安全 访问 级 别 , 系 统 的 访问 安全 性 也 就 有 了 保证 。 





图 9.2.41 设置 禁用 安全 页 


5. 巧妙 备份 系统 所 有 账号 信息 

通常 情况 下 , Windows Server 2008 系统 中 往往 会 同时 保存 有 多 个 用 户 的 系统 登录 账 
号 信息 ,这 些 登录 账号 信息 在 服务 器 系统 突然 遭遇 前 溃 故 障 时 ,很 可 能 会 永远 丢失 。 网 络 管 
理 员 可 能 很 难 通过 大 脑 记忆 的 方法 将 所 有 丢失 的 用 户 账号 逐一 恢复 成 功 。 为 了 防止 重要 用 
户 的 账号 信息 发 生 丢失 ,应 在 Windows Server 2008 系统 工作 正常 时 ,及 时 对 用 户 账 号 信息 
进行 备份 ,然后 将 备份 文件 保存 到 其 他 安全 的 地 方 。 这 样 在 Windows Server 2008 系统 发 
生 故 障 而 不 能 正常 启动 运行 时 ,用 户 账 号 信息 也 不 会 受到 任何 损坏 ,只 要 将 备份 的 用 户 账 号 
恢复 一 下 即 可 。 备 份 用 户 账号 的 具体 步骤 如 下 。 

第 1 步 : 选择 “开始 "一 “运行 ”命令 ,在 “运行 ?对 话 框 中 输入 credwiz, 单 击 “ 确 定 ” 按 钮 ， 
弹出 如 图 9. 2. 42 所 示 的 对 话 框 。 

第 2 步 : 选择 “备份 存储 的 用 户 名 和 和 密码” 单 选 按 钮 ,同时 根据 向 导 提 示 单 击 “ 下 一 步 ” 
按钮 ,在 其 后 出 现 的 对 话 框 中 单 击 “ 浏 览 ” 按 钮 ,在 弹出 的 文件 选择 对 话 框 中 指定 保存 用 户 账 
号 的 文件 名 称 及 保存 位 置 ,再 单 击 “ 保 存 ” 按 钮 。 这 样 在 系统 环境 下 创建 的 所 有 用 户 账号 信 
息 都 将 被 自动 保存 到 特定 的 文件 中 ,该 文件 默认 会 使 用 crd 扩展 名 。 


全 还 原 存 彤 的 用 户 名 和 守 码 





图 9.2.42 设置 存储 用 户 名 和 密码 


日 后 若 发 现 系 统 的 用 户 账号 意外 丢失 , 先 将 之 前 备份 好 的 用 户 账号 文件 复制 到 系统 环 
境 下 。 然 后 选择 “开始 ”一 “运行 "命令 ,在 “运行 ”对话 框 中 输入 命令 credwiz, 进 入 备份 还 原 
设置 对 话 框 ,在 其 中 选择 “还 原 存 储 的 用 户 名 和 密码 ” 单 选 按 钮 ,然后 将 目标 用 户 账号 备份 文 
件 选 择 并 加 入 进来 , 单 击 * 还 原 " 按 钮 ,发 生 丢失 或 受到 损坏 的 用 户 账 号 信息 即 可 被 成 功 
恢复 。 

9.2.3 Linux 系统 的 安全 设置 


Linux 系统 在 大 多 数 人 看 来 比 Windows 系统 安全 ,不 像 Windows 系统 那样 经 常 出 现 
安全 漏洞 ,经 常 发 布 安全 补丁 。 其 实 , 从 技术 角度 看 ,它们 的 安全 性 能 差不多 ,都 属于 C2 安 
全 级 系统 。Windows 系统 之 所 以 被 认为 安全 性 能 较 差 ,主要 是 因为 使 用 和 研究 Windows 
的 人 数 众多 ,被 研究 和 发 现 的 系统 漏洞 自然 也 多 。Linux 系统 的 安全 性 也 值得 关注 ,下 面 简 
单 介 绍 Linux 系统 的 安全 性 问题 。 

1，BIOS 的 安全 

虽然 有 很 多 种 工具 可 以 读 取 BIOS 的 密码 ,也 有 很 多 的 BIOS 有 通用 密码 ,但 是 设置 
BIOS 密码 保护 是 必要 的 。 设 置 BIOS 密码 后 可 以 防止 通过 在 BIOS 改变 启动 顺序 ,而 从 其 
他 设备 启动 。 这 就 可 以 阻止 他 人 试图 用 特殊 的 启动 盘 启 动 系统 ,还 可 以 阻止 他 人 进入 BIOS 
改动 其 中 的 设置 。 

系统 安装 完毕 后 ,要 在 BIOS 中 禁止 除 硬盘 以 外 的 任何 设备 启动 。 

2. 加 载 程序 的 启动 

启动 加 载 程 序 时 尽量 使 用 GRUB 而 不 使 用 LILO。 虽然 它 们 都 可 以 加 入 启动 口令 ,但 
是 LILO 在 配置 文件 中 使 用 明文 口令 ,而 GRUB 是 使 用 MD5 算法 加 密 的 。 加 密 保护 后 可 
以 防止 他 人 使 用 被 定制 的 内 核 来 启动 系统 ,并 在 没有 其 他 操作 系统 的 情况 下 ,将 启动 等 待 时 
间 设 为 0。LILO 的 配置 文件 在 /etc/lilo. conf 中 ,GRUB 的 配置 文件 在 /boot/grub/grub. 
conf 中 。 

3. sudo 的 使 用 

尽量 不 要 对 用 户 分 配 root 权限 ,但 有 时 用 户 会 使 用 一 些 需 要 root 权限 的 命令 。sudo 
是 一 种 以 限制 在 配置 文件 中 的 命令 为 基础 ,在 有 限 的 时 间 内 给 用 户 使 用 并 且 记录 到 日 志 中 
的 工具 ,其 配置 在 /etc/sudoers 文件 中 。 当 用 户 使 用 sudo 时 ,需要 输入 自己 的 口令 以 验证 
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使 用 者 身份 ,随后 可 以 使 用 定义 好 的 命令 。 当 使 用 配置 文件 中 没有 的 命令 时 ,将 会 有 报警 的 
记录 。 

4. 限制 SU 用 户 个 数 

SU( 蔡 代用 户 ) 命 令 人 允许 用 户 成 为 系统 中 其 他 已 存在 的 用 户 。 如 果 不 希 望 任何 人 通过 
SU 命令 改变 为 root 用 户 或 对 某 些 用 户 限 制 使 用 SU 命令 ,可 以 在 SU 配置 文件 (在 /etc/ 
pam. d/ 目录 下 ) 的 开头 添加 如 下 两 命令 行 。 

auth sufficient /lib/security/pam rootok.so debug 

auth required /lib/security/pam wheel.so group= wheel 

这 样 ,只 有 “wheel" 组 的 成 员 可 以 使 用 SU 命令 成 为 root 用 户 。 可 将 允许 的 用 户 添 加 到 
“wheel” 组 , 即 可 使 用 SU 命令 成 为 root 用 户 。 

5. 系统 登录 安全 

通过 修改 /etc/login. defs 文件 可 以 增加 对 登录 错误 延迟 .记录 日 志 、 登 录 密 码 长 度 限 
制 . 过 期 限制 等 设置 ,以 增加 系统 安全 性 。 


/etc/login. defs 


PASS MAX_DAYS 90 # 设 置 登 录 密码 有 效 期 为 90 天 
PASS_MIN_DAYS 0 # 设 置 登 录 密码 最 短 修改 时 间 

PASS MIN_LEN 8 # 设 置 登录 密码 最 小 长 度 为 8 位 

PASS WARN AGE 5 # 设 置 登录 密码 过 期 提前 5 天 提示 修改 
FAIL DELAY 10 # 设 置 登 录 错误 时 等 待 时 间 为 10 秒 
FAILLOG_ENAB yes # 将 登录 错误 记录 到 日 志 


6. 关闭 不 必要 的 服务 

安装 RedHat Linux 后 会 有 上 百 种 服务 进程 ,但 服务 越 多 开放 的 端口 也 就 越 多 ,安全 隐 
患 就 越 大 。 因 此 系统 只 保留 必要 的 服务 就 可 以 了 。 使 用 chkconfig-list 命令 可 以 查看 系统 
打开 的 服务 进程 ; 使 用 chkconfig-del 命令 可 以 删除 指定 的 服务 进程 。 

7. 删除 不 必要 的 用 户 和 组 

Linux 系统 可 以 删除 的 用 户 有 news、uucp 和 gopher, 可 以 删除 的 组 有 news、uucp 和 dip。 

Linux 系统 删除 账号 的 命令 为 userdel-r username; 删除 组 的 命令 为 groupdel-r groupname。 

8. 限制 NFS 服务 

如 果 和 希望 禁止 用 户 任意 地 共享 目录 ,可 以 增加 对 NFS 的 限制 ,锁定 /etc/exports 文件 ， 
并 事先 定义 共享 的 目录 。 如 果 不 希 望 用 户 共 享 ,只 限制 用 户 访问 ,就 需要 修改 NFS 的 启动 
脚本 ,编辑 /etc/init. d/nfs 文件 ,找到 守护 进程 一 行 并 将 其 注释 。 


/etc/init. d/nfs 
# daemon rpc. nfsd $ RPCNFSDCOUNT 


9. 密码 安全 

Linux 系统 在 默认 状态 下 其 密码 长 度 是 5 个 字 节 ,但 该 长 度 稍 短 , 需 要 对 密码 长 度 进行 
修改 。 修 改 最 短 密 码 长 度 要 编辑 login. defs 文件 ,将 密码 长 度 由 5 改 为 8 的 操作 为 : 

将 命令 行 


PASS MIN LEN 5 


修改 为 : 
PASS MIN LEN 8 


10. 禁止 显示 系统 欢迎 信息 
修改 /etc/inetd. conf 文件 ,将 命令 行 


telnet stream tcp nowait root /usr/sbin/tcpd in. telnetd 
修改 为 : 


telnet stream tcp nowait root /usr/sbin/tcpd in. telnetd -h 


11. 禁止 未 经 许可 的 删除 或 添加 服务 


井 chattr +i /etc/services 


12. 禁止 从 不 同 的 控制 台 登 录 root 

/etc/securetty 文件 允许 定义 root 用 户 可 以 从 哪个 TTY 设备 登录 。 通 过 编辑 /etc/ 
securetty 文件 ,在 不 需要 登录 的 TTY 设备 前 添加 “# "标志 ,从 而 禁止 从 该 TTY 设备 登录 
root。 

13. 禁止 使 用 Ctrl 十 Alt 十 Delete 命令 

在 /etc/inittab 文件 中 将 命令 行 


ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
修改 为 : 

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
然后 ,使 命令 生效 ; 

#5 /sbin/init qa 


14. 给 /etec/re. d/init. d 下 的 script 文件 设置 权限 
给 执行 或 关闭 启动 时 执行 的 程序 script 文件 设置 权限 。 使 只 有 root 用 户 才 允许 读 、 写 
和 执行 该 目录 下 的 script 文件 。 


#9 chmod -R 700 /etc/rec.d/init.d/* 


15. 隐藏 系统 信息 

默认 情况 下 当 用 户 登 录 到 Linux 系统 时 ,会 显示 该 Linux 系统 的 名 称 、 版本、 内 核 版 本 、 
服务 器 名 称 等 信息 。 这 些 信息 足以 使 攻击 者 了 解 并 和 人 侵 系统 ,因此 需要 通过 修改 配置 使 系 
统 只 显示 一 个 login: 提 示 符 而 不 显示 其 他 任何 信息 。 

(1) 编辑 /etc/rc. dy/rc. local 文件 ,在 下 面 显示 的 每 一 行 前 加 一 个 “# ”符号 ,把 输出 信息 
的 命令 注释 掉 。 

#9 Thiswill overwrite /etc/issue at every boot. So,make any changes you 

# want to make to /etc/issue here or you will lose them when you reboot 


#echo "" > /etc/issue 
#echo "S$R"” > /etc/issue 


网 络 安 会 实践 
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#echo "Kernel S$ (uame -Ir) on $a S$(uane -nm)" > /etc/issue 
# 
#cp -ff /etc/issue /etc/issue. net 


#echo >> /etc/issue 
(2) 删除 /etc 目录 下 的 isue. net 和 issue 文件 。 


# rm -上 /etc/issue 

# rm -f /etc/issue.net 

16. 阻止 系统 响应 Ping 请 求 

Ping 命令 是 经 常 使 用 的 命令 .攻击 者 通过 使 用 Ping 命令 可 以 判断 对 方 是 否 在 线 , 从 而 
决定 是 否 实施 进一步 的 攻击 行为 。 在 Linux 系统 中 ,可 以 通过 修改 /etc/rc. d/rc. local 文 
件 ,使 系统 不 响应 Ping 请 求 ,从 而 使 攻击 者 无 法 判断 主机 是 否 在 线 。 修 改 该 文件 的 方法 
如 下 : 


echo 1 >; /proc/sys/net/ipv4/icmp echo ignore all 


9.3 网 络 部 件 的 安全 设置 


本 节 主 要 介绍 计算 机 网 络 系统 的 重要 组 成 部 件 一 路 由 器 交换机、 服务 器 和 客户 机 的 
安全 设置 。 


9.3.1 路 由 器 安全 设置 


1. 路 由 器 的 基本 设置 

1) 静态 路 由 的 设置 

静态 路 由 算法 很 难 算得 上 是 算法 ,只 不 过 是 开始 路 由 前 由 网 管 建立 的 映射 表 。 这 些 映 
射 关 系 是 固定 不 变 的 。 使 用 静态 路 由 的 算法 较 容易 设计 ,在 简单 的 网 络 中 使 用 比较 方便 。 
由 于 静态 路 由 算法 不 能 对 网 络 改 变 做 出 反应 ,因此 不 适用 于 现在 的 大 型 . 易 变 的 网 络 。 

定义 目标 网 络 号 .目标 网 络 的 子 网 掩 码 和 下 一 跳 地 址 或 接口 : 


ip route {nexthop - address|exit- interface} [distance] 


默认 路 由 的 配置 ; 


ip route 0.0.0.0 0.0.0.0 {nexthop - address|exit - interface} [distance] 


标准 静态 路 由 的 配置 如 图 9. 3. 1 所 示 ,PC1 和 PC2 通过 路 由 器 RouterA 和 RouterB 用 
静态 路 由 实现 互 连 互通 。 
注意 : 在 配置 静态 路 由 时 ,一 定 要 保证 路 由 的 双向 可 达 , 配 置 到 远 端 路 由 器 路 由 , 远 端 
路 由 器 也 要 配置 到 近 端 路 由 器 回程 路 由 。 如 果 必 须 配置 静态 路 由 ,应 尽量 使 用 具体 网 段 的 
静态 路 由 ,避免 使 用 ip route-static 0. 0. 0. 0 0. 0. 0. 0 默认 路 由 ,以 防止 路 由 环 的 产生 。 
默认 路 由 是 在 没有 找到 任何 匹配 路 由 项 的 情况 下 使 用 的 路 由 ,是 一 种 静态 路 由 。 只 
当 无 任何 合适 的 路 由 时 ,默认 路 由 才 被 使 用 。 默 认 路 由 通常 用 在 未 端 设备 上 ,配置 命令 为 ， 


[Router]ip route- static 0.0.0.0 0.0.0.0 202.101.1.1 preference 60 
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E0/0 
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图 9.3.1 


(1) RouterA 的 详细 配置 如 表 9. 3. 1 所 示 。 


静态 路 由 协议 配置 示意 图 











表 9.3.1 静态 路 由 的 RouterA 的 详细 配置 
当前 路 由 器 提示 视图 依次 输入 的 配置 命令 简单 说 明 
[Quidway] interface ethernet0/0 进入 以 太 0/0 口 
[Quidway-Ethernet0/0] ip address 10. 1.1.1 255.255.255.0 配置 内 网 口 IP 地 址 
[Quidway] interface serial0/0 进入 串口 0/0 





[Quidway-Serial0/0] 


link-protocol ppp 


封装 PPP 协议 





[Quidway-Serial0/0] 


ip address 20. 1.1.1 255. 255. 


配置 串口 IP 地 址 串口 





[Quidway] 


ip route-static 30. 1. 1. 0 255. 255. 25 
20. 1. 1. 1 preference 60 





(2) RouterB 的 详细 配置 如 表 9. 3. 2 所 示 。 


当前 路 由 器 提示 视图 


表 9.3.2 静态 路 由 的 RouterB 的 详细 
依次 输入 的 配置 命令 


配置 到 对 端 PC2 所 在 网 段 的 静 
态 路 由 ,默认 优先 级 为 60 





配置 
简单 说 明 














[Quidway] interface ethernet0/0 进入 以 太 0/0 口 
[Quidway-Ethernet0/0] ip address 30. 1.1.1 255.255.255.0 配置 内 网 口 IP 地 址 
[Quidway] interface serial0/0 进入 串口 0/0 
[Quidway-Serial0/0] link-protocol ppp 封装 PPP 协议 





[Quidway-Serial0/0] 


配置 串口 IP 地 址 串口 





[LQuidway] 


ip route-static 10. 1. 1.0 255. 255. 2 
20. 1. 1. 2 preference 60 





配置 到 对 端 PC1 所 在 网 段 的 静 
态 路 由 ,默认 优先 级 为 60 





2) 动态 路 由 算法 RIP 的 配置 

RIP( 路 由 信息 协议 ) 有 RIP vl 和 RIP v2 两 个 版 本 .可 以 指定 接口 所 处 理 的 RIP 报 文 
版 本 。 其 中 RIP v1 的 报 文 传送 方式 为 广播 方式 ; RIP v2 有 广播 和 组 播 两 种 报 文 传送 方式 ， 
默认 为 组 播 方式 ,RIP v2 中 的 组 播 地 址 为 224. 0. 0.9。 建 议 使 用 RIP v2 协议 ,虽然 其 配置 
过 程 要 多 一 条 语句 ,但 网 络 的 广播 信息 却 减 少许 多 .即使 网 络 中 有 监听 主机 ,也 不 会 捕捉 到 
有 关 路 由 器 RIP 协议 的 组 播报 文 ,进一步 保障 了 路 由 器 的 安全 。 

RIP vl 的 配置 : 


规 虽 器 


Router(config)# router rip 


网 络 安 会 实践 
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Router(config - router) # network xxxx. Ox. XXXX. XXXX 


RIP v2 的 配置 : 


Router(config)# router rip 

Router(config ~ router) # version2 

Router(config— router) #no auto— summary 
Router(config - router) # network xxxx. xx. XxX. XXX 


RIP 路 由 协议 配置 如 图 9. 3. 2 所 示 。 两 台 PC 所 在 的 网 段 ,通过 两 台 使 用 RIP 协议 的 


路 由 器 实现 互 连 互通 。 





S0/0 
20.1.1.1/30 


Ss0/0 
20.1.1.2/30 


10.1.1.1/24 /RouterA 


PC1:10.1.1.2/24 





图 9.3.2 RIP 路 由 协议 配置 示意 图 


(1) RouterA 的 详细 配置 如 表 9. 3.3 所 示 。 
表 9.3.3 RIP 算法 的 RouterA 的 详细 配置 


E0/0 
30.1.1.1/24 


PC2:30.1.1.2/24 











当前 路 由 器 提示 视图 依次 输入 的 配置 命令 简单 说 明 
[Quidway] interface ethernet0/0 进入 以 太 0/0 口 
[Quidway-Ethernet0/0] ip address 10.1.1.1 255.255.255.0 配置 内 网 IP 地 址 
[Quidway] interface serial0/0 进入 串口 0/0 口 





[Quidway-Serial0/0] 


link-protocol ppp 


封装 PPP 协议 





[Quidway-Serial0/0] 


ip address 20. 1. 1.1 255. 255. 255. 252 


配置 串口 IP 地 址 





[Quidway] 


rip 


启动 RIP 





[Quidway-rip| 


network 10. 1. 1.0 


接口 E0/0 使 能 RIP 





LQuidway-rip| 





network 20. 1.1.0 


(2) RouterB 的 详细 配置 如 表 9. 3.4 所 示 。 
表 9.3.4 RIP 算法 的 RouterB 的 详细 配置 





接口 S0/0 使 能 RIP 

















当前 路 由 器 提示 视图 次 输入 的 配置 命令 简单 说 明 
[Quidway] interface ethernet0/0 进入 以 太 0/0 口 
[Quidway-Ethernet0/0] ip address 30. 1.1.1 255. 255. 255. 0 配置 内 网 IP 地 址 
[Quidway] interface serial0/0 进入 串口 0/0 口 
[Quidway-Serial0/0] link-protocol ppp 封装 PPP 协议 
[Quidway-Serial0/0] 配置 串口 IP 地 址 


ip address 20. 1. 1. 2 255. 255. 255. 252 





[Quidway] 


rip 


启动 RIP 





[Quidway-rip| 


network 30. 1. 1.0 


接口 E0/0 使 能 RIP 





[Quidway-rip| 





network 20. 1.1.0 





接口 S0/0 使 能 RIP 


3) ACL 配置 

ACL( 访 问 控制 列表 ) 提 供 了 一 种 机 制 , 可 以 控制 和 过 滤 通 过 路 由 器 的 不 同 接口 去 往 不 
同方 向 的 信息 流 。 这 种 机 制 允 许 用 户 使 用 ACL 来 管理 信息 流 ,以 制定 公司 内 部 网 的 相关 
策略 。 如 网 络 管理 员 可 以 通过 配置 ACL 来 实现 允许 用 户 访问 Internet, 但 不 允许 外 部 用 户 
通过 Telnet 进入 本 地 局 域 网 。 

配置 路 由 器 的 ACL 是 一 件 经 常 性 的 工作 ,通过 配置 ACL, 可 以 使 路 由 器 提供 基本 的 流 
量 过 滤 能 力 。ACL 是 一 个 连续 的 允许 和 拒绝 语句 的 集合 ,关系 到 地 址 或 上 层 协议 。ACL 
在 网 络 中 可 实现 多 种 功能 ,包括 内 部 过 滤 分 组 、 保 护 内 部 网 络 免 受 来 自 Internet 的 非法 入 侵 
和 限制 对 虚拟 终端 端口 的 访问 。 

(1) 基本 ACL。 

一 个 ACL 是 由 permit|deny 语句 组 成 的 一 系列 的 规则 列表 。 在 配置 ACL 规则 前 , 首 
先 需 要 创建 一 个 ACL。 

使 用 如 下 命令 可 创建 ACL: 


acl number acl - number [ match— order { config | auto } ] 
使 用 如 下 命令 可 删除 一 个 或 所 有 的 ACL: 
undo acl { number acl — number | all } 


参数 number acl-number 定义 一 个 数字 型 的 ACL。acl-number 是 访问 控制 规则 序号 
(其 值 基于 接口 的 ACL 是 1000 一 1999, 基 本 的 数字 型 是 ACL2000 一 2999 ,高 级 数字 型 是 
ACL3000~3999 ,基于 MAC 地 址 的 是 ACL4000 一 4999) 。match-order config 是 指定 匹配 
该 规则 时 用 户 的 配置 顺序 ; match-order auto 是 指定 匹配 该 规则 时 系统 自动 排序 , 即 按 “ 深 
度 优先 ”的 顺序 。 

默认 情况 下 匹配 顺序 为 按照 用 户 的 配置 排序 ( 即 config)。 用 户 一 旦 指定 某 一 条 ACL 
的 匹配 顺序 ,就 不 能 再 更 改 该 顺序 ,除非 把 该 ACL 的 内 容 全 部 删除 ,再 重新 指定 其 匹配 
顺序 。 

创建 ACL 后 可 进入 ACL 视图 。ACL 视图 是 按照 ACL 的 用 途 来 分 类 的 ,如 创建 了 一 
个 编号 为 3000 的 数字 型 ACL, 将 进入 高 级 ACL 视图 ,其 提示 符 为 [Quidway-acl-adv-3000]。 

进入 ACL 视图 后 ,就 可 以 配置 ACL 的 规则 了 。 对 于 不 同 的 ACL., 其 规则 是 不 一 样 的 。 
基本 ACL 可 以 基于 网 络 、 子 网 及 主机 IP 地 址 允许 或 拒绝 整个 协议 组 (如 IP)。 如 从 接口 E0 
处 进入 的 分 组 经 过 检查 其 源 地 址 和 协议 类 型 ,并 且 与 ACL 条 件 判断 语句 相 比 较 , 若 匹配 则 
执行 允许 或 拒绝 。 如 果 该 分 组 被 允许 通过 ,就 从 路 由 器 的 出 口 转发 出 去 ; 如 果 分 组 没有 被 
允许 ,就 简单 地 将 其 丢弃 。 

基本 ACL 命令 的 命令 格式 为 : 

rule [ rule- id ] { permit | deny | comment text } [ source sour - addr sour - wildcard | any ] 

[ time - range time - name ] [ logging ] [ fragment ] [ vpn ~ instance vpn — instance— name ] 


可 以 通过 在 rule 命令 前 加 undo 的 形式 ,清除 一 个 已 经 建立 的 基本 ACL, 其 语法 格式 为 : 


undo rule rule -~ id [ comment text ] [ source ] [ time - range ] [ logging ] [ fragment ] 
[ vpn - instance vpn- instance 一 name ] 


网 络 安 会 实践 
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对 已 经 存在 的 ACL 规则 ,如 果 采 用 指定 ACL 规则 编号 的 方式 进行 编辑 ,没有 配置 的 
部 分 是 不 受 影响 的 。 如 先 配 置 了 一 个 ACL 规则 (rule 1 deny source 1. 1.1.1 0), 再 对 这 个 
ACL 规则 进行 编辑 (rule 1 deny logging) ,此 时 ACL 规则 变 为 : rule 1 deny source 1.1.1.10 
logging。 

(2) 基本 ACL 的 配置 应 用 实例 。 

@ 在 系统 视图 下 可 实现 的 配置 。 

acl number 2000 

rule 10 deny 172.31.2.1 # 拒 绝 IP 地 址 为 172.31.2.1 的 主机 的 访问 

rule 20 permit 172.31.2.0 0.0.0.255 # 允许 从 172.31. 2.0 子 网 来 的 任何 主机 的 访问 

rule 30 deny 172.31.0.0. 0.0.255.255 # 拒 绝 从 172.31. 0.0 网 络 来 的 任何 主机 的 访问 

rule 40 permit 172.0.0.0 0.255.255.255 ” 井 人 允 许 来 自 172 网 段 的 任何 主机 访问 

@ firewall packet-filter 命令 应 用 。 

firewall packet-filter 命令 可 把 某 个 现 有 的 ACL 与 某 个 接口 联系 起 来 。 配 置 时 必须 先 
进入 到 目的 接口 (如 S0/0) 的 接口 配置 模式 。 命 令 格式 如 下 。 

firewall packet - filter acl -~ number { inbound | outbound } [ match - fragments{ normally | 

exactly } ] 

参数 acl-number 是 ACL 的 序号 ,inbound 表示 过 滤 从 接口 收 到 的 数据 包 ,outbound 表 
示 过 滤 从 接口 转发 的 数据 包 ,match-fragments 指定 分 片 的 匹配 模式 (只 有 高 级 ACL 有 此 参 
数 ) ,normally 是 标准 匹配 模式 (默认 模式 ) ,exactly 是 精确 匹配 模式 。 

在 实际 应 用 中 配置 基本 ACL 时 ,可 以 应 用 基本 ACL 允许 或 禁止 特定 的 通信 流量 , 然 
后 测试 该 ACL 是 否 达 到 预期 结果 。 

(3) 高 级 ACL 的 配置 。 

高 级 ACL 比 基 本 ACL 使 用 更 广泛 ,因为 它 提供 了 更 大 的 弹性 和 控制 范围 。 高 级 ACL 
既 可 检查 分 组 的 源 地 址 和 目的 地 址 ,也 可 检查 协议 类 型 和 TCP/UDP 的 端口 号 。 

高 级 ACL 可 以 基于 分 组 的 源 地 址 、 目 的 地 址 、 协 议 类 型 .端口 地 址 和 应 用 来 决定 访问 
是 被 允许 还 是 被 拒绝 。 高 级 ACL 可 以 在 拒绝 文件 传输 和 网 页 浏览 的 同时 ,允许 从 E0/0 的 
E-mail 通信 流量 抵达 目的 地 S0/0。 一旦 分 组 被 丢弃 , 某 些 协议 将 返回 一 个 回应 分 组 到 源 发 
送 端 ,以 表明 目的 不 可 达 。 

高 级 ACL 命令 的 完整 语法 为 : 

rule [ rule- id ] { permit | deny | comment text } protocol [ source sour - addr sour - wildcard | 

any ] [ destination dest - addr dest - mask | any ] [ source - port operator portl [ port2 ] ] 

[ destination - port operator portl [ port2 ] ] [ icmp - type { icmp - message | icmp - type icmp 一 

code} ] [ dscp dscp ] [ precedence precedence ] [ tos tos ] [ time ~ range time ~ name ] [ logging ] 

[ fragment ] [ vpn- instance ] 

可 以 通过 在 rule 命令 前 加 undo 的 形式 ,清除 一 个 已 经 建立 的 高 级 ACL。 

单独 的 一 个 ACL 可 定义 多 个 条 件 判 断 语句 ,每 个 条 件 判断 语句 都 包含 相同 的 ACL 编 
号 ,以 便 把 这 些 语句 与 同一 个 ACL 相关 联 。 但 条 件 判断 语句 越 多 ,该 ACL 的 执行 和 管理 
就 越 困 难 。 


一 个 简单 的 高 级 ACL 配置 实例 如 下 。 


rule 10 permit tcp 172.18.10.0.0.0.0.255 any eq telnet 
rule 20 permit tcp 172.18.10.0.0.0.0.255 any eq ftp 

rule 30 permit tcp 172.18. 10.0.0.0.0.255 any eq ftp - data 
rule 40 deny any any 


第 1 条 判断 语句 设置 允许 172. 18. 10. 0/24 网 络 使 用 TCP 协议 访问 外 部 网 的 Telnet 


服务 。 
第 2 条 判断 语句 设置 允许 172. 18. 10. 0/24 网 络 使 用 TCP 协议 访问 外 部 网 的 FTP 


服务 。 
第 3 条 判断 语句 设置 允许 172. 18. 10. 0/24 网 络 使 用 TCP 协议 访问 外 部 网 的 FTP 数 


据 服务 。 

第 4 条 判断 语句 设置 拒绝 满足 前 面 三 条 ACL 要 求 的 其 他 网 络 服务 。 

高 级 ACL 的 功能 非常 强大 ,对 于 所 使 用 的 不 同 协 议 提 供 了 不 同 的 参数 选项 ,根据 所 使 
用 的 协议 ,语法 也 会 不 同 。 可 以 使 用 的 协议 包括 ICMP IGMP (Internet 组 管理 协议 )、TCP 
和 UDP。 

4) 网 络 地 址 转换 (NAT) 技 术 

随 着 Internet 的 迅速 发 展 ,IP 地 址 短缺 及 路 由 规模 越 来 越 大 已 成 为 相当 严重 的 问题 。 
为 了 解决 这 个 问题 ,出现 了 多 种 解决 方案 。 一 种 在 目前 网 络 环境 中 比较 有 效 的 方法 是 使 用 
网 络 地 址 转换 (NAT) 技 术 。 

地 址 转换 是 指 在 一 个 组 织 的 网 络 内 部 ,可 以 根据 需要 自 定义 自己 的 IP 地 址 ( 假 IP 地 
址 )。 本 组 织 内 部 的 各 计算 机 间 通 过 假 IP 地 址 进行 通信 , 当 组 织 内 部 的 计算 机 要 与 外 部 的 
Internet 通信 时 ,具有 NAT 功能 的 设备 负责 将 其 假 IP 地 址 转换 为 真 IP 地 址 。 地 址 转换 的 
基本 过 程 如 图 9. 3.3 所 示 。 
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目的 : 192.168.1.3 ; 目的: 202.169.10.1 


一 











图 9.3.3 NAT 执行 流程 


(1) NAT 技术 的 应 用 。 
@ 连接 Internet, 但 不 使 网 内 所 有 的 计算 机 都 拥有 真正 的 IP 地 址 。 通 过 NAT 功能 ， 
可 以 对 申请 的 合法 的 IP 地 址 进行 统一 管理 , 当 内 部 计算 机 需要 连接 Internet 时 ,动态 或 静 | 章 


避 汕 
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态 地 将 假 卫 地 址 转换 为 合法 IP 地 址 。 

@ 不 使 外 部 网 络 用 户 知 道 网 络 的 内 部 结构 。 可 通过 NAT 将 内 部 网 络 与 外 部 Internet 
隔离 开 。 这 样 外 部 用 户 根 本 不 知道 网 络 内 部 的 假 全 地 址 ,可 有 效 地 保障 内 部 服务 器 的 安全 。 

@ 实现 多 个 用 户 同时 共用 一 个 合法 IP 地 址 与 外 部 Internet 通信 。 设置 NAT 功能 的 
路 由 器 至 少 要 有 一 个 内 部 端口 和 一 个 外 部 端口 。 内 部 端口 连接 网 络 内 的 用 户 , 使 用 的 是 假 
IP 地 址 , 且 内 部 端口 可 以 为 路 由 器 的 任意 端口 。 外 部 端口 连接 的 是 外 部 的 公用 网 络 ( 如 
Internet) ,外 部 端口 可 以 为 路 由 器 上 的 任意 端口 。 

(2) NAT 地 址 转换 实例 。 

如 图 9.3.4 所 示 , 用 出 口 地 址 做 Easy NAT, 完 成 将 192. 168. 0. 0/24 内 部 网 络 接 入 
Internet, 在 出 口 地 址 进行 地 址 转换 ,隐藏 内 部 网 主机 地 址 ,有 效 保 障 内 部 网 主机 的 安全 。 





旺 


旺 RouterA 


图 9.3.4 Easy NAT 网 络 服务 结构 





Q@ RouterA 的 详细 配置 如 表 9. 3. 5 所 示 。 
表 9.3.5 NAT 地 址 转换 中 RouterA 的 详细 配置 






































当前 路 由 器 提示 视图 依次 输入 的 配置 命令 简单 说 明 
[Quidway] acl number 2000 
1 it S 192. 168. 0. 0 0. 0. 许 进 行 NAT 转换 的 
[Quidway-act basic-2000] | De OU ye 
0.255 地 址 段 
[Quidway-acl-basic-2000] | rule deny 
[Quidway] interface Ethernet0/1 
[Quidway-Ethernet0/1] ip address 192. 168. 0. 1 255. 255. 255.0 | 内 网 网 关 
LQuidway] interface Ethernet0/0 
[Quidway-Ethernet0/1] ip address 202. 1. 1. 2 255. 255. 255. 248 
[Quidway-Ethernet0/1] nat outbound 2000 在 出 接口 上 进行 NAT 转换 
二 i te-static 0. 0. 0. 0 0. 0. 0. 0 202.1. 
LQuidway] et. 配置 默认 路 由 
1. 1 preference 60 


@ 地 址 池 方 式 NAT 转换 的 配置 如 表 9. 3.6 所 示 。 
表 9.3.6 NAT 地 址 转换 中 地 址 池 方式 的 配置 








当前 路 由 器 提示 视图 依次 输入 的 配置 命令 简单 说 明 
[Quidway] acl number 2000 指定 ACL 的 序号 为 2000 
Puidway -acl basis 000] rule permit source 192. 168. 0. 0 0. 0. | 配置 允许 进行 NAT 转换 的 内 网 
0.255 地 址 段 





[Quidway-acl-basic-2000] | rule deny 











续 表 








当前 路 由 器 提示 视图 依次 输入 的 配置 命令 简单 说 明 
[Quidway] nat address-group 0 202. 1. 1. 3 202. 1.1.6 | 用 户 NAT 的 地 址 池 
[Quidway] interface Ethernet0/1 以 太 网 1 号 插 槽 1 号 端口 





[Quidway-Ethernet0/1] ip address 192. 168. 0. 1 25; 


5. 255. 255.0 | 内 网 网 关 





[Quidway] interface Ethernet0/0 


以 太 网 1 号 插 槽 0 号 端口 





[Quidway-Ethernet0/1] |ip address 202.1.1.2 255.255.255.0 





[Quidway-Ethernet0/1] nat outbound 2000 address-group 0 在 出 接口 上 进行 NAT 转换 





[Quidway] 





1.1 preference 60 


ip route-static 0. 0. 0. 0 0. 0. 0. 0 202. 1. 


配置 默认 路 由 





@ 对 外 提供 FTP、WWW 等 服务 的 路 由 器 配置 。 以 WWW 服务 为 例 ,除了 上 述 的 配置 


外 , 公 网 接口 需要 增加 如 下 配置 : 


[Quidway - Ethernet0/0]nat server protocol tcp global 202.1.1.2 www inside 192.168.0.2 www 


如 果 需 要 其 他 用 户 可 以 ping 通 对 外 提供 服务 的 服务 器 ,必须 增加 如 下 配置 : 


[Router - Ethernet1 ]nat server protocol global icmp 202.1.1.2 inside 192.168.0.2 


2. 路 由 器 的 安全 配置 
1) 包 过 滤 ACL 配置 


包 过 滤 访 问 控制 结构 如 图 9. 3. 5 所 示 ,RouterA 为 中 低 端 路 由 器 (以 V3. 40 为 例 ) 。 网 
络 功 能 的 需求 为 : 对 内 网 地 址 192. 168. 1. 0/25 访问 外 网 不 作 限 制 ; 对 于 内 网 地 址 
192. 168. 1.128/25 只 允许 收发 邮件 ,不 允许 访问 外 网 。 


人 


RouterA 


图 9.3.5 包 过 滤 访 问 控制 结构 


V3.40 路 由 器 包 过 滤 ACL 配置 脚本 如 下 。 
# 


sysname RouterA 


firewall enable 
firewall default deny 


radius scheme system 
domain system 
acl number 2000 


rule 0 permit source 192.168.1.0 0.0.0.255 
rule 1 deny 








acl number 3001 
rule 0 permit ip source 192.168.1.0 0.0.0.127 


/启用 防火 墙 功能 / 
/配置 防火 墙 默认 操作 为 deny/ 


/定义 用 于 NAT 转换 的 ACL/ 


/定义 用 于 包 过 滤 的 ACL/ 
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/内 网 地 址 192.168.1.0/25 访问 外 网 不 作 限 制 / 
rule 1 permit tcp source 192.168.1.128 0.0.0.127 destination - port eq pop3 
rule 2 permit tcp source 192.168.1.128 0.0.0.127 destination - port eq smtp 

/内 网 地 址 192.168.1.128/25 只 能 收发 邮件 / 

# 

interface ethernet1/0/0 

ip address 192.168.1.1 255.255.255.0 

firewall packet - filter 3001 inbound /对 inbound 流量 使 用 包 过 滤 / 
# 

interface serial2/0/0 

link— protocol ppp 

ip address 202.101.1.2 255.255.255.252 

nat outbound 2000 

# 

interface NULLO 

# 

ip route — static 0. 0.0.0 0.0.0.0 202. 101.1.1 preference 60 
# 

user — interface con 0 

user— interface vty0 4 

# 


return 


2) 标准 IPSec 配置 
两 台 V3.40 路 由 器 通过 Internet 采用 IPSec tunnel 方式 互通 ,网 络 结构 如 图 9. 3.6 所 示 。 


< 全 -=> 
< > 年 


RouterA RouterB 


图 9.3.6 标准 IPSec 配置 网 络 结构 


V3. 40 路 由 器 标准 IPSec 配置 脚本 如 下 。 
RouterA 配置 脚本 : 


# 

sysname RouterA 

# 

radius scheme system 

# 

domain system 

# 

ike proposal 1 

# 

ike peer a 

pre— shared — key huawei — 3com 
remote ~ address 202.0.0.2 
# 

ipsec proposal a 

# 

ipsec policy a 1 isakmp 
security acl 3000 

ike— peer a 


Proposal a 

# 

acl number 3000 

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 
# 

interface ethernet1/0/0 

ip address 192.168.1.1 255.255.255.0 

# 

interface serial2/0/0 

link ~ protocol ppp 

ip address 202.0.0.1 255.255.255.0 

ipsec policy a 

# 

interface NULLO 

# 

ip route — static 0. 0.0.0 0.0.0.0 202. 0.0.2 preference 60 
# 

user — interface con 0 

user — interface vty0 4 

# 


return 


RouterB 配置 脚本 : 
# 


sysname RouterB 

# 

radius scheme system 

# 

domain system 

# 

ike proposal 1 

# 

ike peer b 

pre— shared - key huawei — 3com 
remote ~ address 202.0.0.1 

# 

ipsec proposal b 

# 

ipsec policy b 1 isakmp 
security acl 3000 

ike— peer b 

proposal b 

# 

acl number 3000 

rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 
# 

interface ethernet1/0/0 

ip address 192.168.2.1 255.255.255.0 
# 

interface serial2/0/0 
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link— protocol ppp 

ip address 202.0.0.2 255.255.255.0 

ipsec policy b 

# 

interface NULLO 

# 

ip route— static 0.0.0.0 0.0.0.0 202.0.0.1 preference 60 
# 

user — interface con 0 

user— interface vty 0 4 


# 


return 


9.3.2 交换 机 安全 设置 


1. 交换 机 远程 Telnet 管理 配置 

交换 机 远程 Telnet 登录 配置 如 图 9. 3.7 所 示 。 图 中 PC( 固 定 IP 地 址 为 10. 10. 10. 10/ 
24) 通 过 VLAN10( 接 口 地 址 为 10. 10. 10. 1/24) 连 接 到 三 层 交换 机 SwitchA ,SwitchA 使 用 
VLAN100 (接口 地 址 为 192. 168. 0. 1/24) 与 二 层 交 换 机 SwitchB 互 连 , SwitchB 使 用 
VLAN100( 接 口 地 址 为 192. 168. 0. 2/24) 与 SwitchA 互 连 。SwitchA 通过 以 太 网 口 E0/1 
和 SwitchB 的 E0/24 实现 互 连 。 








SwitchB 


SwitchA 






E0/10 
VLANI0 





图 9.3.7 交换 机 远程 Telnet 登录 配置 


远程 Telnet 登录 要 求 : SwitchA 只 人 允许 10. 10. 10. 0/24 网 段 地 址 的 PC 的 Telnet 访 
问 ,SwitchB 允许 其 他 任意 网 段 地 址 的 Telnet 访问 。 

如 果 一 台 PC 要 远程 Telnet 到 一 台 设备 上 ,首先 要 保证 二 者 之 间 能 够 正常 通信 。 
SwitchA 可 以 有 多 个 三 层 虚 接口 ,其 管理 VLAN 可 以 是 任意 一 个 具有 三 层 接口 并 配置 了 1IP 
地 址 的 VLAN。 

SwitchB 只 有 一 个 二 层 虚 接口 ,其 管理 VLAN 即 是 对 应 三 层 虚 接口 并 配置 了 IP 地 址 
的 VLAN。 

Telnet 用 户 登 录 时 ,需要 进行 密码 (口令 ) 认 证 ,如 果 没 有 配置 口令 而 通过 Telnet 登录 ， 
则 系统 会 提示 password required,but none set. 。 

1) SwitchA 的 相关 配置 

PC 在 VLAN10 内 ,交换 机 上 对 应 的 端口 为 E0/10-E0/20。 


创建 (进入 )VLAN10 

[SwitchA]vlan 10 

将 连接 PC 的 Eo/1 加 入 VLAN10: 

[SwitchR - vlan10] port ethernet 0/1 

创建 (进入 )VLAN10 的 虚 接口 : 

[SwitchR]interface vlan - interface 10 

给 VLAN10 的 虚 接口 配置 IP 地 址 : 

[SwitchR - vlan- interfacel0]ip address 192.168.0.1 255.255.255.0 
创建 (进入 )VLAN100, 并 将 E0/10-E0/20 加 入 到 VLAN100: 


[SwitchA]vlan 100 
[Switcha - vlan- interface 100] port ethernet 0/10 to ethernet 0/20 


创建 VLAN100 的 虚 接 口 ,并 为 VLAN100 的 虚 接 口 配 置 IP 地 址 ， 


[SwitchR]interface vlan - interface 100 
[SwitchR - vlan- interfacel00]ip address 10.10.10.1 255.255.255.0 


2) SwitchB 的 相关 配置 
创建 (进入 )VLAN100, 并 将 E0/24 加 入 到 VLAN100: 


[Switchhjvlan 100 
[Switcha - vlan100] port ethernet 0/24 


创建 (进入 )VLAN100 的 虚 接 口 ,并 为 VLAN100 的 虚 接 口 配置 IP 地 址 : 


[SwitchB]interface vlan - interface 100 
[SwitchB — vlan- interfacel00]ip address 192.168.0.2 255.255.255.0 


一 般 , 二 层 交换 机 允许 其 他 任意 网 段 访问 时 需要 加 入 一 条 默认 路 由 : 
[SwitchB]ip route- static 0.0.0.0 0.0.0.0 192.168.0.1 


3) Telnet 密码 验证 配置 
进入 用 户 界面 视图 : 


[SwitchA]user - interface vty 0 4 

设置 认证 方式 为 密码 验证 方式 : 

[SwitchA ~ ui- vty0 ~ 4]authentication~ mode password 

设置 登录 验证 的 password 为 明文 密码 huawei: 

[SwitchA ~ ui— vty0 ~ 4]set authentication password simple huawei 


设置 登录 用 户 的 级 别 为 最 高 级 别 “3”: 
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[SwitchA — ui— vty0 ~ 4]user privilege level 3 


4) Telnet 本 地 用 户 名 和 密码 验证 配置 
进入 用 户 界面 视图 : 


[SwitchA]user - interface vty 0 4 

设置 本 地 或 远 端 用 户 名 和 口令 认证 : 

[SwitchA - ui- vty0 - 4]authentication - mode scheme 
设置 本 地 用 户 名 和 密码 : 


[SwitchA]local - user huawei 
[SwitchA - user - huawei]service— type telnet level 3 
[SwitchA - user - huawei]password simple huawei 


\ 如 果 不 改 变 Telnet 登录 用 户 的 权限 ,用 户 登 录 后 是 无 法 直接 进入 其 他 视图 的 ,可 以 设 
置 super password 来 控制 用 户 是 否 有 权限 进入 其 他 视图 。 

[SwitchA]local - user huawei 

[SwitchA - user - huawei]service - type telnet 


[SwitchA - user - huawei]password simple huawei 
[SwitchR]super password level 3 simple huawei 


5) Telnet 访问 控制 配置 

设置 只 允许 符合 ACL1 的 IP 地 址 登录 交换 机 
[SwitchA — ui- vty0- 4]acl 1 inbound 

设置 只 允许 某 网 段 登录 的 规则 : 


[SwitchA]acl number 1 
[SwitchA ~ acl -basic—-1] 
[SwitchA - acl - basic- 1]rule permit source 10.10.10.0 0.0.0.255 


设置 只 禁止 某 网 段 登录 的 规则 : 


[SwitchA]acl number 1 

[SwitchA - acl ~- basic—1] 

[SwitchA - acl - basic ~ 1]rule deny source 10.10.10.0 0.0.0.255 

2. 基于 源 IP 地 址 的 访问 控制 

在 交换 机 (以 锐 捷 交换 机 为 实验 设备 ,下 同 ) 上 设置 基于 源 IP 地 址 的 ACL, 只 允许 指定 
源 IP 访问 网 络 ,而 禁止 其 他 IP 访问 网 络 。 实 验 拓扑 环境 如 图 9. 3. 8 所 示 。 


VLANI0 VLAN20 











PC1 192.168.10.10/24 PC2 192.168.20.20/24 





图 9.3.8 基于 源 IP 地 址 的 ACL 网 络 拓扑 


配置 命令 如 下 。 


Switch# configure terminal 

Switch<config>#vlan 10 

Switch<config— vlan>#nanme vlan10 

Switch<config— vlan>#exit 

Switch<config>#vlan 20 

Switch<config~ vlan>#nanme vlan20 

Switch<config— vlan>#exit 

Switch<config># ip access— list standard test1l 
Switch<config- std— nacl >#permit host 192.168.10.10 
Switch<config- std- nacl >#deny any 

Switch<config— std- nacl >#exit 

Switch<config># interface f0/24 

Switch<config— if ># switchport access vlan 20 
Switch<config— if >#exit 

Switch<config># interface f0/1 

Switch<config~ if ># switchport access vlan 10 
Switch<config- if ># ip access- group testl in 
Switch<config— if >#exit 

Switch< config># interface vlan 10 

Switch< config- vlan># ip address 192. 168.10.254 255.255.255.0 
Switch<config- vlan>#no shutdown 

Switch<config- vlan>#exit 

Switch < config># interface vlan 20 

Switch< config- vlan># ip address 192. 168.20. 254 255.255.255.0 
Switch<config ~ vlan>#no shutdown 

Switch<config ~ vlan>#end 


上 述 配 置 完 成 后 ,IP 为 192. 168. 10. 10 的 PC1 能 ping 通 PC2 ,而 其 他 连接 到 端口 1 的 
主机 则 ping 不 通 其 他 机 器 。 

3. 基于 目的 IP 地 址 的 ACL 配置 

在 交换 机 上 设置 基于 目的 IP 地址 的 ACL, 只 人 允许 主机 访问 指定 目的 IP 地 址 的 主机 ， 
而 禁止 访问 其 他 主机 。 实 验 拓扑 环境 同 图 9. 3. 8, 配 置 命 令 如 下 (VLAN 10 和 VLAN 20 的 
划分 步骤 省 略 ) 。 


Switch<config># ip access - list extended test2 
Switch<config ~ ext - nacl >#permit ip any host 192.168.20. 20 
Switch< config- ext ~ nacl >#deny ip any any 
Switch < config- ext - nacl >#exit 

Switch < config ># interface f0/24 
Switch<config- if ># switchport access vlan 20 
Switch< config- if >#exit 

Switch<config># interface f0/1 
Switch<config- if ># switchport access vlan 10 
Switch<config- if ># ip access - group test2 in 
Switch<config- if >#exit 


上 述 配置 完成 后 ,PC1 能 ping 通 IP 为 192. 168. 20. 20 的 PC2, 而 当 PC2 为 其 他 IP 时 
则 ping 不 通 。 
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4. 基于 TCP/UDP 协议 的 ACL 配置 

在 交换 机 上 设置 基于 TCP/UDP 协议 的 ACL, 只 允许 通过 指定 的 协议 及 指定 的 端口 访 
问 主 机 或 网 络 。 实 验 拓扑 环境 同 图 9. 3. 8, 在 PC2 上 运行 WWW 和 MAIL 服务 软件 ,使 
PC2 能 够 提供 WWW 和 MAIL 服务 。 在 交换 机 上 设置 基于 TCP 协议 的 ACL, 禁 止 PC1 访 
问 PC2 的 MAIL 服务 ,但 允许 PC1 访问 PC2 上 的 WWW 网 页 ,配置 命令 如 下 (VLAN10 和 
VLAN20 的 划分 步骤 省 略 ) 。 


Switch<config># ip access - list extended test3 
Switch<config— ext ~ nacl >#permit tcp host 192.168.10.10 any eq www 
Switch< config- ext ~ nacl >#deny tcp any any 
Switch<config~ ext ~ nacl >#exit 

Switch< config># interface f0/24 
Switch<config— if ># switchport access vlan 20 
Switch<config— if >#exit 

Switch<config># interface f0/1 
Switch<config~ if ># switchport access vlan 10 
Switch<config- if ># ip access — group test3 in 
Switch<config- if >#exit 


上 述 配置 完成 后 ,PC1 可 以 使 用 PC2 上 的 WWW 服务 ,而 不 能 使 用 MAIL 服务 。 

5. 基于 MAC 地 址 的 ACL 配置 

在 交换 机 上 设置 基于 MAC 地 址 的 ACL, 只 允许 指定 MAC 地 址 的 主机 访问 网 络 ,而 禁 
止 其 他 MAC 地 址 的 主机 访问 网 络 。 实 验 拓 扑 环境 同 图 9. 3. 8 ,配置 命令 如 下 (CVLAN10 和 
VLAN20 的 划分 步骤 省 略 ) 。 


Switch<config>#mac access - list extended test4 
Switch< config- ext - mcal >#permit host 0090.f510.e476 any 
Switch< config - ext - mcal >#deny any any 
Switch< config ~ ext ~ mcal > 并 exit 

Switch < config># interface f0/24 
Switch<config- if ># Switchport access vlan 20 
Switch<config 一 if ># exit 

Switch<config># interface f0/1 

Switch<config— if ># switchport access vlan 10 
Switch<config~ if >#mac access - group test4 in 
Switch<config— if >#exit 


上 述 配置 完成 后 ,只 有 MAC 地 址 为 指定 地 址 的 主机 PC1 才能 ping 通 PC2, 而 端口 1 
上 其 他 MAC 地 址 的 主机 则 ping 不 通 。 

6. 基于 时 间 的 ACL 配置 

在 交换 机 上 设置 基于 时 间 的 ACL, 只 允许 指定 时 间 段 内 访问 网 络 , 而 禁止 其 他 时 间 访 
问 网 络 。 实 验 拓扑 环境 同 图 9. 3. 8, 配 置 命令 如 下 CVLAN10 和 VLAN20 的 划分 步骤 省 略 ) 。 

Switch<config>#time - range timel 

Switch< config— time ~ range >#periodic daily 8:00 to 18:00 

Switch<config— time - range >#exit 


Switch<config># ip access - list extended test5 
Switch<config~ ext— nacl >#permit ip any any time - range timel 


Switch< config - ext - nacl >#deny ip any any 
Switch< config - ext - nacl >#exit 
Switch<config># interface f0/24 
Switch<config— if ># switchport access vlan 20 
Switch<config— if >#exit 

Switch<config># interface f0/1 
Switch<config— if ># switchport access vlan 10 
Switch< config— if ># ip access ~ group test5 in 
Switch<config— if >#exit 


上 述 配置 完成 后 ,PC1 只 能 在 每 天 的 8: 00 一 18: 00 访问 网 络 , 其 他 时 间 段 则 被 禁止 访 
问 网 络 。 


9.3.3 服务 器 安全 管理 


为 了 安全 起 见 , 在 服务 器 上 关闭 不 需要 的 服务 ,关闭 User 账户 ,设置 和 修改 管理 员 账 
户 ,设置 陷阱 账户 ,设置 账户 锁定 策略 ,设置 安全 选项 ,设置 审核 策略 ,删除 默认 共享 ,关闭 不 
必要 的 端口 ,修改 默认 端口 ,分配 用 户 权限 , 禁 止 建立 空 连接 ,修改 注册 表 等 操作 都 是 必要 
的 。 加 强 网 络 系统 的 日 常 管理 对 保证 网 络 服务 器 的 安全 也 是 非常 必要 的 。 此 外 ,网 络 管理 
员 还 可 采取 如 下 措施 保护 服务 器 的 系统 安全 。 

1. 安装 补丁 

管理 员 或 用 户 可 经 常 访问 Microsoft 和 一 些 安全 站 点 ,下载 最 新 的 service pack 和 漏洞 
补丁 ,并 及 时 更 新 程序 ,堵塞 bug。 

2. 安装 防 病毒 软件 

在 系统 使 用 前 最 好 安装 一 款 防 病 毒 软件 。 不 论 是 金山 毒霸 ,还 是 猎豹 诺顿、 瑞星 等 其 
他 防 病 毒 软件 ,都 可 随 用 户 的 意愿 选择 ,但 一 定 要 安装 。 当 然 , 没 有 一 款 防 病 毒 软件 可 以 查 
杀 所 有 的 病毒 ,因此 在 实际 使 用 中 还 应 使 用 其 他 的 安全 手段 。 

3. 目录 和 文件 权限 管理 

为 了 控制 好 服务 器 上 用 户 的 权限 ,也 为 了 预防 以 后 可 能 发 生 的 入 侵 和 溢出 ,必须 精心 地 
设置 目录 和 文件 的 访问 权限 。Windows 系统 的 访问 权限 一 般 分 为 读 取 、 写 入 、 读 取 及 执行 、 
修改 、 列 目录 和 完全 控制 。 默 认 情 况 下 ,大 多 数 文 件 夹 对 所 有 用 户 (Everyone 组 ) 是 完全 控 
制 的 (FullControl) ,用 户 可 根据 应 用 需要 进行 权限 重 设 。 

可 以 采取 如 下 措施 来 管理 目录 和 文件 的 权限 。 

。 将 C 盘 中 的 所 有 子 目 录 和 子 文件 继承 C 盘 的 administrator( 组 或 用 户 ) 和 SYSTEM 

目录 具有 的 全 部 权限 。 
。 修改 C:\ProgramFiles\CommonFiles, 开 放 Everyone 默认 的 读 取 及 运行 、 列 出 文件 
目录 和 读 取 权限 。 

。 开放 Everyone 的 修改 、 读 取 及 运行 、 列 出 文件 目录 、 读 取 和 写 入 权限 。 
为 防止 非法 访问 ,可 将 cmd. exe 和 net. exe 两 个 文件 的 权限 修改 为 特定 管理 员 才 能 
访问 ,如 : 
cmd. exe root 用 户 所 有 权限 
net. exe root 用 户 所 有 权限 
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。 将 com. exe 改名 为 _com. exe, 然 后 替换 com 文件 (可 以 记录 所 有 执行 的 命令 行 
指令 )。 

4. 敏感 文件 备份 

虽然 现在 服务 器 的 硬盘 容量 都 很 大 ,但 为 了 安全 起 见 ,还 应 考虑 经 常 把 一 些 重要 的 用 户 
数据 (文件 ,数据 表 、 项 目 文件 等 ) 进 行 备份 并 存放 在 另外 一 个 服务 器 或 安全 保险 处 。 

5. 服务 器 日 常 管理 

(1) 服务 器 的 定时 重启 (如 每 台 服 务 器 保证 每 周 重新 启动 一 次 ,重新 启动 之 后 要 进行 复 
查 ,确认 服务 器 已 经 启动 且 其 中 的 各 项 服务 均 恢 复 正 常 ) 。 

(2) 服务 器 的 安全 ,性 能 检查 (如 每 台 服 务 器 至 少 保证 每 周 登录 两 次 和 简单 地 检查 两 
次 ,并 将 每 次 检查 的 结果 进行 记录 )。 

(3) 服务 器 的 监控 (如 在 每 天 的 正常 工作 期 间 必须 保证 监视 所 有 的 服务 器 状态 ,一旦 发 
现 服务 停止 就 要 及 时 采取 相应 措施 )。 

(4) 服务 器 的 相关 日 志 操 作 ( 如 每 台 服 务 器 保证 每 月 对 相关 日 志 进行 一 次 清理 ,清理 前 

应 的 各 项 日 志 如 应 用 程序 日 志 、 安 全 日 志 、 系 统 日 志 等 都 应 选择 “保存 日 志 ”)。 

(5) 服务 器 的 隐患 检查 (包括 安全 隐患 ,性 能 等 方面 的 检查 ,每 台 服 务 器 必须 保证 每 月 
重点 单独 检查 一 次 ,每 次 检查 的 结果 都 必须 做 好 记录 ) 。 

(6) 定期 更 改 管理 密码 (如 每 台 服务 器 保证 至 少 每 一 个 月 或 每 两 个 月 更 改 一 次 密码 ) 。 

除 上 述 服务 器 安全 措施 外 ,还 有 一 些 其 他 安全 手段 ,可 以 有 选择 地 为 服务 器 设置 ,如 安 
全 日 志 、SQL Server 数据 库 服 务 器 安全 ,设置 IP 筛选 ,禁止 木马 常用 端口 等 。 


9.3.4 客户 机 安全 管理 


为 了 安全 起 见 ,在 客户 机 上 关闭 不 需要 的 服务 ,关闭 Guest 账户 ,修改 管理 员 账 户 , 设 置 
陷阱 账户 ,关闭 不 必要 的 端口 ,设置 安全 选项 ,隐藏 驱动 器 ,设置 审核 策略 ,关闭 不 必要 的 端 
口 ,分 配 用 户 权限 ,禁止 建立 空 连接 ,修改 注册 表 等 操作 都 是 必要 的 。 加 强 网 络 系统 的 日 常 
管理 对 保证 网 络 服务 器 的 安全 也 是 必 不 可 少 的 。 此 外 ,网 络 管理 员 还 可 采用 如 下 措施 保护 
客户 机 的 系统 安全 。 

1. 补丁 管理 

Windows 操作 系统 自发 布 以 后 ,微软 公司 经 常会 发 布 安全 更 新 和 重要 更 新 的 补丁 ,已 
经 发 布 的 补丁 修补 了 很 多 高 风险 的 漏洞 。 补 丁 管理 系统 可 以 对 系统 软件 进行 修补 从 而 最 大 
限度 地 减少 漏洞 ,降低 病毒 等 利用 漏洞 的 可 能 ,减少 安全 隐患 。 在 客户 机 配置 相应 的 组 策略 
后 会 自动 从 服务 器 上 及 时 更 新 补丁 。 管 理 员 在 控制 台 能 清楚 地 了 人 解 到 网 络 中 每 台 计 算 机 的 
补丁 安装 情况 ,然后 根据 各 成 员 单 位 不 同 的 安全 要 求 在 配置 客户 端 策 略 时 选择 自动 安装 补 
丁 或 提醒 安装 。 

2. 病毒 防护 

对 于 每 一 个 网 络 用 户 或 个 人 用 户 ,在 客户 机 安装 防 病毒 系统 是 最 基本 的 安全 要 求 。 因 
此 ,建议 安装 网 络 版 的 病毒 防护 系统 的 客户 ,最 好 再 配置 一 套 不 同 厂 商 的 病毒 防护 系统 作为 
补充 和 备份 ,并 及 时 更 新 病毒 库 。 如 果 发 现 病 毒 流行 , 则 启动 相应 的 预案 ,对 感染 病毒 的 计 
算 机 采取 相应 的 技术 和 紧急 响应 措施 ,保证 系统 的 正常 运行 





3. 客户 机 的 安全 访问 

管理 员 账 号 通常 是 指 Windows 系统 中 的 Administrator 或 UNIX 系统 中 的 root。 该 账 
号 对 于 系统 中 的 所 有 程序 和 文件 都 具有 完全 的 访问 和 管理 权 。 管 理 员 可 以 对 系统 配置 进行 
全 面 修改 ,还 可 以 增加 和 删除 其 他 系统 账号 。 

当 网 络 用 户 以 用 户 账号 登录 到 客户 机 时 ,用 户 可 通过 远程 服务 器 进行 验证 。 用 户 通常 
也 可 在 客户 机 上 创建 本 地 账号 ,该 账号 允许 用 户 在 不 连接 到 网 络 的 情况 下 登录 客户 机 。 

控制 安装 在 客户 机 上 的 应 用 程序 类 型 也 是 非常 重要 的 。 除 具有 管理 权限 的 用 户 可 以 安 
装 应 用 程序 外 ,不 允许 其 他 用 户 安装 任何 东西 。 如 果 某 些 用 户 需 要 定期 地 安装 测试 软件 , 则 
可 赋予 这 些 用 户 管理 员 权 限 。 也 可 以 创建 一 个 实验 环境 ,在 实验 环境 下 ,用 户 可 以 测试 和 安 
装 软件 , 即 给 予 他 们 有 限 的 安装 软件 的 权力 。 

4。 简单 的 客户 机 安全 设置 实践 

1) 配合 使 用 服务 器 的 DHCP 功能 

在 服务 器 上 使 用 DHCP 功能 后 ,可 以 更 好 地 保证 局 域 网 中 每 台 客 户 机 的 安全 性 ,但 客 
户 机 也 必须 配合 使 用 ,和 否则 会 出 现 局 域 网 IP 冲突 ,或 无 故 断 线 等 现象 。 设 置 方 法 很 简单 ,在 
“Internet 协议 (TCP/IP) 属 性 ”对 话 框 中 选择 “自动 获得 IP 地 址 ”和 “自动 获得 DNS 服务 器 
地 址 " 单 选 按 钮 ,然后 单 击 “ 确 定 ” 按 钮 即 可 ,如 图 9. 3.9 所 示 。 

2) 合理 使 用 代理 

合理 有 效 地 使 用 Internet 上 提供 的 代理 服务 器 可 以 提高 客户 机 的 安全 系数 。 客 户 机 通 
过 局 域 网 服务 器 与 互联 网 上 的 代理 服务 器 连接 ,并 通过 代理 服务 器 实现 不 同 的 网 络 方式 , 即 
使 黑客 查找 到 网 络 信息 ,但 也 只 是 代理 服务 器 的 信息 ,这 样 虽 不 是 百分之百 的 安全 ,但 也 提 
高 了 整个 网 络 的 安全 性 。 使 用 代理 服务 器 会 提高 客户 机 的 安全 系数 ,但 却 以 牺牲 性 能 为 代 
价 , 所 以 是 否 使 用 该 方法 应 酌情 而 定 。 

设置 代理 的 具体 操作 步骤 如 下 。 

第 1 步 : 对 HTTP、FTP 等 网 络 方式 设置 代理 时 ,在 控制 面板 中 单 击 " Internet 选项 ”图 
标 ,弹出 “Internet 属性 ”对 话 框 ,选择 “连接 ”选项 卡 ,如 图 9. 3. 10 所 示 。 
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第 2 步 : 单 击 “ 局 域 网 设置 "按钮 ,在 弹出 的 “局 域 网 设置 "对话 框 中 “为 LAN 使 用 代理 
服务 器 " 复 选 框 ,如 图 9. 3. 11 所 示 。 

第 3 步 : 单 击 “ 高 级 "按钮 ,弹出 如 图 9. 3. 12 所 示 的 “代理 服务 器 设置 ”对话 框 ,在 其 中 
可 填写 详细 的 代理 信息 。 

第 4 步 : 设置 完毕 后 单 击 “确定 ”按钮 ,完成 代理 设置 。 
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口 合用 自动 配置 脚本 公 ) Socks ©): 
Mm [| |] 口 对 所 有 协议 均 使 用 相同 的 代理 服务 器 QD) 
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图 9.3.11 局 域 网 设置 图 9.3.12 代理 服务 器 设置 


9.4 数据 加 密 技术 的 应 用 


本 节 简 单 介绍 数据 加 密 /解密 、 数 字 签 名 数字 证 书 和 身份 认证 的 应 用 实例 。 
9.4.1 加 密 软 件 PGP 及 应 用 


PGP 可 用 来 对 文件 或 邮件 进行 加 密 , 以 防止 非 授 权 者 查看 。 还 可 对 用 户 的 文件 或 邮件 
加 上 数字 签名 ,从 而 可 以 让 收 件 人 能 够 确认 发 信人 的 身份 ,也 可 以 防止 发 信人 的 抵赖 行为 。 

1. PGP 简介 

PGP(Pretty Good Privacy) 是 一 个 公 钥 加 密 程序 。 它 把 RSA 公 钥 体系 的 管理 方便 和 
传统 加 密 体系 的 高 速度 结合 起 来 ,并 且 在 数字 签名 和 密 钥 认 证 管理 机 制 上 有 巧妙 的 设计 。 
虽然 PGP 主要 是 基于 公 钥 加 密 体系 的 ,但 它 不 是 一 种 完全 的 公 钥 加 密 体系 ,而 是 一 种 混合 
加 密 算法 。 它 是 由 一 个 对 称 加 密 算法 (IDEA) .一 个 非 对 称 加 密 算法 (RSA) 、 一 个 单 向 散 列 
算法 (MD5) 和 一 个 随机 数 产 生 器 组 成 的 ,每 种 算法 都 是 PGP 不 可 分 割 的 组 成 部 分 。PGP 
集中 了 几 种 加 密 算法 的 优点 ,使 它们 彼此 得 到 互补 。PGP 实现 了 大 部 分 流行 的 加 密 和 认证 
算法 ,如 DES、IDEA、RSA 及 MD5 .SHA 等 算法 。 

2. PGP 加 密 软件 的 使 用 

PGP 软件 兼 有 加 密 和 签名 两 种 功能 ,其 加 密 功 能 和 签名 功能 可 以 单独 使 用 ,也 可 以 同 
时 使 用 。 


1) PGP 软件 的 下 载 与 安装 

在 网 上 很 多 站 点 上 都 可 以 自由 下 载 到 免费 版 本 的 PGP 软件 ,比较 权威 的 地 址 是 
http://www.openpgp.org。 现 在 网 上 免费 的 PGP 新 版 本 有 很 多 ,但 有 些 还 不 太 成 熟 和 稳 
定 。 这 里 仍 以 较 权 威 和 稳定 的 PGP 8. 0. 2 全 免费 版 本 为 例 介绍 其 应 用 。 

从 http://www. openpgp. org 上 下 载 PGP 8. 0.2. 其 容量 约 为 10MB。 下 载 后 单 击 安 
装 文件 开始 安装 。 出 现 Welcome 界面 .文档 说 明和 ReadMe 等 页 面 。 随 后 可 按 提示 输入 用 
户 名 和 机 构 名 ,选择 安装 路 径 。 如 果 是 第 一 次 使 用 PGP, 则 在 如 图 9. 4. 1 所 示 的 对 话 框 中 
选择 "No,Tm a New User" 单 选 按钮 。 在 接 下 来 弹出 的 所 有 对 话 框 中 单 击 Yes 或 Next 按 
钮 即 可 。 安 装 完毕 后 按 要 求 重 新 启动 系统 ,系统 会 自动 缩 为 托盘 上 的 一 个 小 锁 头 图 标 。 


P 8.0 
User Type 
Please tell us fyou have esting PGP Keyngs you'd he lo use 





图 9.4.1 用 户 类 型 提示 


2) 选取 密 钥 

PGP 使 用 IDEA 算法 加 密 数 据 ,IDEA 的 密 钥 使 用 RSA 或 DH 算法 进行 加 密 。 

重启 后 进入 密 钥 选取 阶段 。 按 提示 给 出 用 户 全 名 和 邮件 地 址 后 ,选取 密 钥 并 再 次 确认 
该 密 钥 ,如 图 9. 4. 2 所 示 。 密 钥 选 取 后 单 击 * 下 一 步 ? 按 钮 。 这 次 选取 的 是 对 称 密 钥 ( 即 加 密 
数据 用 的 IDEA 密 钥 ) 。 
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图 9.4.2 选取 密 钥 并 确认 
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RSA 和 DH 都 是 公 钥 密码 系统 算法 ,它们 的 密 钥 都 有 两 个 , 即 公 和 钥 和 私 钥 。 下 面 来 选 
取 公 和 钥 和 私 钥 。 

PGP 软件 包 中 有 Documentation、PGPdisk、PGPkeys 和 PGPmail 四 项 。 选 择 “ 开 始 ”一 
“程序 ”>PGP 一 PGPkeys 命令 ,可 得 到 如 图 9. 4. 3 所 示 的 PGPkeys 窗口 页 面 。 选 择 该 页 面 
工具 栏 最 左 端 的 “选择 密 钥 对 ”工具 项 ,可 得 到 相应 的 PGP 加密 和 签名 用 的 公 钥 (pubring) 
与 私 钥 (secring), 如 图 9. 4.4 所 示 。 选 取 公 钥 和 私 钥 对 后 ,用 户 要 小 心 保存 自己 的 私 钥 , 把 
公 钥 通过 你 的 朋友 签名 发 送 给 其 他 朋友 ,或 发 送 到 网 上 公共 的 PGP 管理 服务 器 中 。 


有 1 PCPkeys 


za 2048/1024 。 DH/DSS key pair 
四 上 1ys Qiwyss58283 net> ED 2048/1024 DMISS key pair 





图 9.4.3 PGPkeys 窗口 


徊 D:\ 我 的 文 萎 \PCP 
文件 EE) 编辑 下) 查看 WD 收藏) 工具 中 帮助 旭 
@ 恨 -日 - 序 月 多 | 已 xi 天 | 应 让 X 加 | 四- 
地 址 (0) | 局 0 \ 我 的 文档 \PGP 
文件 吉 大 小 类 型 
国 Wy Pictures 2 EB POP Public Keyring 2| 


加 0 Files 2 38 POP Private Key， 2| 
国 deos 
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图 9.4.4 公 钥 和 私 钥 显示 


3) 加 密 文 件 

选择 “开始 ”一 "程序 ”一 PGP-~PGPmail 命令 ,可 得 到 如 图 9. 4. 5 所 示 的 工具 箱 。 该 工 
具 箱 中 有 7 个 按钮 图 标 , 从 左 到 右 依 次 为 PGPkeys( 选 密 钥 )、.Encrypt( 加 密 ) .Sign( 签 名 )、 
Encrypt & Sign( 加 密 并 签名 ) .Decrypt/ Verify( 解 密 并 验证 )、Wipe( 文 件 销毁 ) 和 Freespace 
Wipe( 空 间 擦 除 )。 


国 PcPaail -| [x 





名 | 司 | 多 | 党 | 隔 


图 9.4.5 工具 箱 
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RSA 和 DH 都 是 公 钥 密码 系统 算法 ,它们 的 密 钥 都 有 两 个 , 即 公 和 钥 和 私 钥 。 下 面 来 选 
取 公 和 钥 和 私 钥 。 

PGP 软件 包 中 有 Documentation、PGPdisk、PGPkeys 和 PGPmail 四 项 。 选 择 “ 开 始 ”一 
“程序 ”>PGP 一 PGPkeys 命令 ,可 得 到 如 图 9. 4. 3 所 示 的 PGPkeys 窗口 页 面 。 选 择 该 页 面 
工具 栏 最 左 端 的 “选择 密 钥 对 ”工具 项 ,可 得 到 相应 的 PGP 加密 和 签名 用 的 公 钥 (pubring) 
与 私 钥 (secring), 如 图 9. 4.4 所 示 。 选 取 公 钥 和 私 钥 对 后 ,用 户 要 小 心 保存 自己 的 私 钥 , 把 
公 钥 通过 你 的 朋友 签名 发 送 给 其 他 朋友 ,或 发 送 到 网 上 公共 的 PGP 管理 服务 器 中 。 


有 1 PCPkeys 


za 2048/1024 。 DH/DSS key pair 
四 上 1ys Qiwyss58283 net> ED 2048/1024 DMISS key pair 





图 9.4.3 PGPkeys 窗口 
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@ 恨 -日 - 序 月 多 | 已 xi 天 | 应 让 X 加 | 四- 
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图 9.4.4 公 钥 和 私 钥 显示 


3) 加 密 文 件 

选择 “开始 ”一 "程序 ”一 PGP-~PGPmail 命令 ,可 得 到 如 图 9. 4. 5 所 示 的 工具 箱 。 该 工 
具 箱 中 有 7 个 按钮 图 标 , 从 左 到 右 依 次 为 PGPkeys( 选 密 钥 )、.Encrypt( 加 密 ) .Sign( 签 名 )、 
Encrypt & Sign( 加 密 并 签名 ) .Decrypt/ Verify( 解 密 并 验证 )、Wipe( 文 件 销毁 ) 和 Freespace 
Wipe( 空 间 擦 除 )。 
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图 9.4.5 工具 箱 
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RSA 和 DH 都 是 公 钥 密码 系统 算法 ,它们 的 密 钥 都 有 两 个 , 即 公 和 钥 和 私 钥 。 下 面 来 选 
取 公 和 钥 和 私 钥 。 

PGP 软件 包 中 有 Documentation、PGPdisk、PGPkeys 和 PGPmail 四 项 。 选 择 “ 开 始 ”一 
“程序 ”>PGP 一 PGPkeys 命令 ,可 得 到 如 图 9. 4. 3 所 示 的 PGPkeys 窗口 页 面 。 选 择 该 页 面 
工具 栏 最 左 端 的 “选择 密 钥 对 ”工具 项 ,可 得 到 相应 的 PGP 加密 和 签名 用 的 公 钥 (pubring) 
与 私 钥 (secring), 如 图 9. 4.4 所 示 。 选 取 公 钥 和 私 钥 对 后 ,用 户 要 小 心 保存 自己 的 私 钥 , 把 
公 钥 通过 你 的 朋友 签名 发 送 给 其 他 朋友 ,或 发 送 到 网 上 公共 的 PGP 管理 服务 器 中 。 


有 1 PCPkeys 
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四 上 1ys Qiwyss58283 net> ED 2048/1024 DMISS key pair 





图 9.4.3 PGPkeys 窗口 


徊 D:\ 我 的 文 萎 \PCP 
文件 EE) 编辑 下) 查看 WD 收藏) 工具 中 帮助 旭 
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图 9.4.4 公 钥 和 私 钥 显示 


3) 加 密 文 件 

选择 “开始 ”一 "程序 ”一 PGP-~PGPmail 命令 ,可 得 到 如 图 9. 4. 5 所 示 的 工具 箱 。 该 工 
具 箱 中 有 7 个 按钮 图 标 , 从 左 到 右 依 次 为 PGPkeys( 选 密 钥 )、.Encrypt( 加 密 ) .Sign( 签 名 )、 
Encrypt & Sign( 加 密 并 签名 ) .Decrypt/ Verify( 解 密 并 验证 )、Wipe( 文 件 销毁 ) 和 Freespace 
Wipe( 空 间 擦 除 )。 


国 PcPaail -| [x 
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图 9.4.5 工具 箱 





单 击 工具 箱 中 的 "Encrypt" 按 钮 ,可 进行 文件 加 密 。 首 先 在 单 击 Encrypt 按钮 后 弹出 的 
对 话 框 中 选择 要 被 加 密 的 文件 ,如 图 9. 4.6 所 示 。 单 击 “ 打 开 ” 按 钮 后 弹出 如 图 9. 4.7 所 示 
的 对 话 框 。 在 该 对 话 框 中 选择 要 加 密 文 件 的 阅读 者 (中 间 栏 带 有 邮件 地 址 的 部 分 ,可 以 是 别 
人 的 ,也 可 以 是 自己 的 )。 该 对 话 框 中 的 选项 Text Output Input Is Text、Wipe Original 和 
Conventional Encryption 分 别 表示 “输出 文本 形式 的 加 密 文件 “输入 的 是 文本 文件 ”彻底 
销毁 原始 文件 ”和 “用 传统 密码 体制 加 密 ”( 不 用 公 钥 系统 ,只 能 留 着 自己 看 )。 勾 选 “Text 
Output” 复 选 框 , 单 击 OK 按钮 , 即 可 得 到 已 加 密 的 文件 , 密 文 并 以 文本 形式 存储 ,如 图 9. 4. 8 
所 示 。 
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图 9.4.7 选择 加 密 文 件 阅读 者 


4) 签名 
单 击 工具 箱 中 的 Sign 按钮 ,可 进行 文件 签名 。 首 先 在 单 击 Sign 按钮 后 弹出 的 对 话 框 
中 选择 要 被 签名 的 文件 。 然 后 , 单 击 “ 打 开 ” 按 钮 后 弹出 要 求 输入 密码 的 对 话 框 。 输 入 密码 
后 单 击 OK 按钮 , 即 可 得 到 签 过 名 的 文件 , 签 过 名 的 文件 会 被 加 上 较 形象 的 标记 ,如 图 9. 4. 8 
所 示 。 签 名 后 会 出 现 一 个 记录 页 面 ,该 记录 包括 用 户 名 、 签 名 者 ` 密 钥 ID 号 有 效 ( 有 法 律 效 
力 ) 状 态 和 日 期 。 
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图 9.4.8 加 密 和 签名 的 文件 显示 


5) 加 密 并 签名 

使 用 工具 箱 中 的 Encrypt & Sign 工具 ,可 对 文件 进行 加 密 并 签名 。 首 先 在 单 击 
Encrypt & Sign 按钮 后 弹出 的 对 话 框 中 选择 要 被 加 密 和 签名 的 文件 , 单 击 “打开 ?按钮 后 弹 
出 pl 9. 4.7 所 示 的 对 话 框 , 勾 选 Text Output 复 选 框 后 单 击 OK 按钮 (此 时 表示 实现 加 密 
过 程 ); 然后 又 弹出 要 求 输 入 密码 的 对 话 框 ,输入 签名 密码 后 单 击 OK 按钮 (此 时 表示 实现 
Eee 9.4.8 所 示 。 

此 后 的 解密 并 验证 ,文件 销毁 和 存储 空间 擦 除 等 操作 很 简单 ,读者 可 尝试 自己 完成 。 


9.4.2 RSA 密 铀 软件 的 应 用 


由 前 面 的 介绍 可 知 ,RSA 是 公开 密 钥 加 密 方法 的 典型 代表 。 使 用 RSA 算法 加 密 数据 
时 ,首先 需要 产生 公 钥 和 私 钥 , 再 用 公 钥 将 信息 加 密 变 成 密 文 传 给 信息 接收 者 。 虽 然 公 钥 是 
公开 的 ,但 是 只 有 掌握 私 钥 的 用 户 才能 够 解密 密 文 得 到 正确 的 明文 信息 ,从 而 保护 信息 的 
安全 。 

由 于 在 日 常 工作 中 产生 公 钥 和 私 钥 需要 耗费 大 量 的 时 间 , 因 此 一 般 情况 下 人 们 会 借助 
密 钥 产生 工具 软件 随机 产生 密 钥 。 下 面 介绍 密 钥 产生 软件 RSATool 的 应 用 。 

RSATool 软件 使 用 了 包括 MPQS 在 内 的 各 种 不 同 的 因数 分 解 方法 生成 的 整数 因子 ， 
可 生成 强壮 的 密 钥 对 自动 选择 数 制 转换 和 进行 密 钥 测 试 。 

1， RSA 密 钥 的 产生 

第 1 步 : 打开 RSATool 程序 ,出 现 主 界面 。 在 其 Number Base 下 拉 列 表 框 中 选择 数 的 
模 为 十 进 制 ,如 图 9. 4.9 所 示 。 

第 2 步 : 单 击 Start 按钮 ,确定 后 再 随意 移动 鼠标 直到 提示 信息 框 出 现 ,获取 一 个 随机 
数 种 子 , 如 图 9. 4. 10 所 示 。 

第 3 步 : 在 "Keysize (Bits)" 文 本 框 中 输入 数值 作为 公 钥 的 位 数 ( 如 32), 再 单 击 
Generate 按钮 ,该 工具 软件 会 产生 一 些 相应 的 数值 ,如 素数 P 二 83003,Q 二 78347, 其 合 数 
( 即 模 数 )N 二 PXQ==6503036041, 私 钥 DD==1427344133, 如 图 9.4. 11 所 示 。 
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图 9.4.9 RSATool 主 界面 
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图 9.4.11 产生 公 钥 的 过 程 
第 4 步 : 将 “Prime(P) ”文本 框 中 的 数值 复制 到 "Public Exp. (E) ”文本 框 中 ,再 将 
Number Base 框 中 的 进 制 数 改 为 十 六 进 制 , 此 时 "Prime(P) "文本 框 中 的 数值 即 为 十 六 进 制 | 9 
公 钥 ,如 图 9. 4. 12 所 示 。 章 








计算 机 网 络 安 会 (第 3 版 ) 





RSA-Tool 2 by tE! 
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图 9. 4. 12 产生 十 六 进 制 公 钥 


第 5 步 : 再 次 重复 第 2 步 , 单 击 Start 按钮 ,确定 后 再 随意 移动 鼠标 ,以 获取 一 个 随机 数 
种 子 。 

第 6 步 : 在 “Keysize(Bits) "文本 框 中 输入 所 希望 的 密 钥 位 数值 ,可 从 32 一 4096 ,位 数 越 
多 安全 性 越 高 ,但 运算 速度 也 会 越 慢 ,选择 1024 位 就 足够 了 (本 例 选择 64) 。 单 击 Generate 
按钮 ,该 工具 软件 会 产生 一 些 相 应 的 数值 ,其 中 “Private Exp. (D) "文本 框 中 的 数值 即 是 私 
钥 ,“Modulus(N)” 文 本 框 中 的 数值 即 是 模 数 N, 如 图 9. 4.13 所 示 。 
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图 9.4.13 产生 私 钥 的 过 程 





2. 测试 密 钥 的 正确 性 
第 1 步 : 单 击 主 界 面 中 的 Test 按钮 ,弹出 RSA-Test 对 话 框 ,在 其 中 的 Message to encrypt 
文本 框 中 随意 输入 信息 , 单 击 Encrypt 按钮 将 数值 进行 加 密 处 理 ,如 图 9. 4. 14 所 示 。 


























sge encrypted: C=M"E MOD H. You may press Decrypt now. 
图 9.4.14 加 密 信 息 
第 2 步 : 单 击 Decrypt 按钮 进行 解密 ,解密 后 的 结果 显示 在 Result 文本 框 中 ,如 图 9. 4. 15 


所 示 。 将 解密 后 的 结果 与 原 输入 的 数值 进行 比较 , 若 两 者 相同 , 则 说 明 产生 的 密 钥 有 效 ; 若 
不 同 , 则 需要 重新 产生 密 钥 。 





Message to encryrpt 
23 全 
Max length (chars) of message can be (Keysize/6)-1, to make sure that M < N. 





























图 9.4.15 解密 信息 


9.4.3 EFS 及 应 用 


1. EFS 软件 

EFS(Encrypting File System, 加 密 文件 系统 ) 是 Windows 文件 系统 的 内 置 文件 加 密 工 
具 , 它 以 公共 密 钥 加 密 为 基础 ,使 用 CryptoAPI 架构 ,提供 一 种 透明 的 文件 加 密 服务 。 
Windows 2000/XP/2003 都 配备 了 EFS。EFS 可 对 存储 在 NTFS 磁盘 卷 上 的 文件 和 文件 
夹 执 行 加 密 操作 。 对 于 NTFS 卷 上 的 文件 和 数据 ,都 可 以 直接 被 操作 系统 加 密 保存 ,这 在 
很 大 程度 上 提高 了 数据 的 安全 性 。 

在 使 用 EFS 加 密 一 个 文件 或 文件 夹 时 ,系统 首先 会 生成 一 个 由 伪 随 机 数组 成 的 FEK 
(文件 加 密 密 钥 ) ,然后 利用 FEK 和 数据 扩展 标准 X 算法 创建 加 密 文件 ,并 把 它 存 储 到 硬盘 
上 ,同时 删除 未 加 密 的 原文 件 。 随 后 系统 利用 用 户 的 公 钥 加 密 FEK ,并 把 加 密 后 的 FEK 存 
储 在 同一 个 加 密 文件 中 。 当 用 户 访问 被 加 密 的 文件 时 .系统 首先 利用 用 户 的 私 钥 解 密 
FEK ,然后 利用 FEK 解密 原 加 密 文件 。 在 首次 使 用 EFS 时 ,如 果 用 户 还 没有 公 钥 / 私 钥 对 
(统称 为 密 钥 ) , 则 会 首先 生成 密 钥 ,然后 再 加 密 数据 。EFS 加 密 文件 时 ,使 用 对 该 文件 唯一 
的 对 称 加 密 密 钥 ,并 使 用 文件 拥有 者 EFS 证 书 中 的 公 钥 对 这 些 对 称 加 密 密 钥 进行 加 密 。 因 
为 只 有 文件 的 拥有 者 才能 使 用 密 钥 对 中 的 私 钥 ,所 以 也 只 有 他 才能 解密 密 钥 和 文件 。 

EFS 加 密 系 统 对 用 户 是 透明 的 , 即 如 果 用 户 加 密 了 一 些 数据 .那么 他 对 这 些 数据 的 访 
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问 将 是 完全 允许 的 ,并 不 会 受到 任何 限制 。 如 果 用 户 持 有 一 个 已 加 密 NTFS 文件 的 私 钥 ， 
那么 他 就 能 够 打开 这 个 文件 ,并 透明 地 将 该 文件 作为 普通 文档 使 用 。 而 其 他 非 授 权 用 户 试 
图 访问 加 密 过 的 数据 时 ,就 会 收 到 “访问 拒绝 ”的 提示 。 这 说 明 非 授权 用 户 无 法 访问 经 过 
EFS 加 密 后 的 文件 。 即 使 是 有 权 访 问 计 算 机 及 其 文件 系统 的 用 户 , 也 无 法 读 取 这 些 加 密 
数据 。 

当 使 用 EFS 对 NTFS 文件 系统 的 文件 或 文件 夹 进行 安全 处 理 时 ,操作 系统 将 使 用 
CryptoAPI 所 提供 的 公 钥 和 对 称 密 钥 加 密 算法 对 文件 或 文件 夹 进行 加 密 。EFS 作为 操作 
系统 级 的 安全 服务 ,内 部 实现 机 制 非常 复杂 ,但 管理 员 和 用 户 使 用 起 来 却 非 常 简单 。EFS 
加 密 的 用 户 验 证 过 程 是 在 登录 Windows 时 进行 的 ,只 要 登录 到 Windows, 就 可 以 打开 任意 
一 个 被 授权 的 加 密 文件 ,而 并 不 像 第 三 方 加 密 软 件 那 样 在 每 次 存 取 时 都 要 求 输入 密码 。 

在 保存 文件 时 EFS 将 自动 对 文件 进行 加 密 , 当 用 户 重新 打开 文件 时 系统 将 对 文件 进行 
自动 解密 。 除 加 密 文件 的 用 户 和 具有 EFS 文件 恢复 证 书 的 管理 员 之 外 ,没有 人 可 以 读 写 经 
过 加 密 处 理 的 文件 或 文件 夹 。 因 为 加 密 机 制 建 立 在 文件 系统 内 部 , 它 对 用 户 的 操作 是 透明 
的 ,而 对 攻击 者 来 说 却 是 加 密 的 。 

如 果 把 未 加 密 的 文件 复制 到 经 过 加 密 的 文件 夹 中 ,那么 这 些 文 件 将 会 被 自动 加 密 。 若 
想 将 加 密 文件 移出 来 ,如 果 是 移动 到 NTFS 分 区 上 ,那么 文件 将 依然 保持 加 密 属 性 。 在 
Windows 系统 中 ,每 一 个 用 户 都 有 一 个 SID( 安 全 标识 符 ) 以 区 分 各 自 的 身份 ,每 个 人 的 SID 
都 不 相同 且 是 唯一 的 (SID 可 类 似 人 的 指纹 )。 在 第 一 次 加 密 数 据 时 ,操作 系统 就 会 根据 加 
密 者 的 SID 生成 该 用 户 的 密 钥 , 并 把 公 钥 和 私 钥 分 开 保 存 起 来 ,供用 户 加 密 和 解密 数据 。 
这 一 切 可 保证 EFS 机 制 的 可 靠 性 。 

发 生 诸 如 用 户 私 钥 丢 失 或 雇员 离开 公司 等 突 发 事件 时 ,EFS 提供 了 一 种 恢复 代理 机 
制 , 可 以 恢复 经 EFS 加 密 的 文件 信息 。 当 使 用 EFS 时 ,系统 将 自动 创建 一 个 独立 的 恢复 密 
钥 对 ,并 存储 在 管理 员 的 EFS 文件 恢复 证 书 中 。 恢 复 密 钥 对 的 公 钥 用 于 加 密 原始 的 加 密 密 
钥 ,并 在 紧急 情况 下 使 用 私 钥 来 恢复 加 密 文 件 的 密 钥 , 从 而 恢复 经 过 加 密 的 文件 。Windows 
2000 系统 在 单机 和 工作 组 环境 下 ,默认 的 恢复 代理 是 Administrator; Windows XP 系统 在 
单机 和 工作 组 环境 下 没有 默认 的 恢复 代理 ;而 在 域 环境 中 所 有 加 入 域 的 Windows 2000/ 
XP 计算 机 ,默认 的 恢复 代理 全 部 都 是 域 管理 员 。 这 一 切 又 可 保证 被 加 密 数据 的 安全 性 。 

使 用 EFS 加 密 功 能 要 保证 两 个 条 件 , 第 一 要 保证 操作 系统 是 Windows 2000/XP/ 
2003 ,第 二 要 保证 文件 所 在 的 分 区 格式 是 NTFS 格式 (FAT32 分 区 中 的 数据 是 无 法 加 密 的 ， 
如 果 要 使 用 EFS 对 其 进行 加 密 , 就 必须 将 FAT32 格式 转换 为 NTFS) 。 

值得 注意 的 是 ,被 EFS 加 密 的 数据 也 不 是 绝对 安全 的 ,如 果 没有 合适 的 密 钥 ,虽然 无 法 
打开 被 EFS 加 密 过 的 文件 ,但 仍 可 以 将 其 删除 。 所 以 对 于 重要 文件 ,最 佳 的 做 法 是 综合 
用 NTFS 权限 和 EFS 加密 两 项 安全 措施 。 这 样 ,如 果 非 法 用 户 没有 合适 的 权限 ,将 不 能 访 
间 受 保护 的 文件 和 文件 夹 , 因 此 也 就 不 能 删除 文件 了 。 而 有 些 用 户 即使 拥有 权限 ,没有 密 钥 
同样 还 是 打 不 开 加 密 数据 。 

NTFS 分 区 上 保存 的 数据 还 可 以 被 压缩 .但 是 一 个 文件 不 能 同时 被 压缩 和 加 密 。 
Windows 的 系统 文件 和 系统 文件 夹 无 法 被 加 密 。 

综 上 所 述 ,可 将 EFS 系统 具有 的 特性 概括 如 下 。 

。 用 户 加 密 或 解密 文件 或 文件 夹 很 方便 .访问 加 密 文件 简单 容易 。 


。 EFS 加 密 系统 对 用 户 是 透明 的 。 
。 加 密 后 的 数据 无 论 怎样 移动 都 保持 加 密 状 态 。 
EFS 加 密 机 制 和 操作 系统 紧密 结合 ,用 户 不 必 为 加 密 数 据 安装 额外 软件 ,可 节约 使 
用 成 本 。 
。 EFS 与 NTFS 紧密 地 结合 在 一 起 。 
通过 EFS 加 密 敏感 性 文件 ,会 增加 更 多 层级 的 安全 性 防护 。 

2. EFS 加 密 和 解密 

1) EFS 加 密 文件 或 文件 夹 

例如 要 对 C 盘 下 的 “4321" 文 件 夹 进行 EFS 加 密 ,其 操作 过 程 如 下 。 

第 1 步 : 右 击 要 加 密 的 文件 夹 , 选 择 “ 属 性 "命令 ,弹出 如 图 9. 4. 16 所 示 的 该 文件 夹 的 
“属性 ”对 话 框 。 

第 2 步 : 在 “属性 ”对 话 框 中 单 击 “ 高 级 "按钮 ,在 弹出 的 “高 级 属性 ”对 话 框 中 , 勾 选 “加 
密 内 容 以 便 保护 数据 ? 复 选 框 ,如 图 9. 4. 17 所 示 , 单 击 “ 确 定 ” 按 钮 。 


[B+ 请 选择 用 于 证 文件 夹 


吴 状 让 种 二 有 东 是 否 和 这 些 更改 同 时 名 用 于 


文件 实 存档 和 损 制 素 引 展 性 
5 口 可 以 存档 文件 严 轴 ) 


Ca 回 为 了 块 带 搜 索 ， 克 许 索引 服务 凡 制 文件 丈 的 索引 CD) 


158 葬 (159,744 字 节 ) 
压缩 或 加 客 尿 性 


2 个 文件 ,0 个 文件 实 
人 C&C) 
2009 年 1 月 24 日 ，9:03:50 


国 区 恋 太 ] CE DD 


口 局 太 0 











图 9.4.16 ”加密 文 件 夹 属性 图 9.4.17 高 级 属性 设置 


第 3 步 : 在 “属性 ”对 话 框 中 单 击 “ 应 用 ”按钮 ,弹出 “确认 属性 更 改 ” 对 话 框 ,如 图 9. 4. 18 
所 示 。 如 选择 “ 仅 将 更 改 应 用 于 该 文件 夹 " 单 选 按钮 ,系统 将 只 对 文件 夹 加 密 , 文 件 夹 中 已 有 
的 内 容 并 没 被 加 密 , 但 是 此 后 在 文件 夹 中 创建 的 文件 或 文件 夹 将 会 被 加 密 ; 如 选择 “将 更 改 
应 用 于 该 文件 夹子 文件 夹 和 文件 " 单 选 按钮 ,文件 夹 中 的 所 有 内 容 均 被 加 密 。 





击 避 恰 


图 9.4.18 确认 属性 更 改 一 加 密 
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第 4 步 : 单 击 “ 确 定 ” 按 钮 ,完成 加 密 操作 。 

现在 已 有 了 一 个 被 EFS 加 密 过 的 文件 夹 , 以 后 如 果 用 户 要 对 某 个 文件 或 文件 夹 进行 
EFS 加 密 , 也 可 以 把 它们 移 到 该 文件 夹 中 ,这 样 这 些 文件 或 文件 夹 就 会 被 自动 加 密 。 

2) 密 钥 备份 和 解密 文件 /文件 夹 

如 果 用 户 重 装 了 系统 ,此 后 即使 再 利用 原来 的 用 户 名 和 密码 ,也 无 法 打开 EFS 加 密 过 
的 文件 或 文件 夹 。 这 是 因为 加 密 时 的 密 钥 信息 保存 在 原 系 统 中 , 重 装 系统 后 原 密 钥 信息 丢 
失 。 因 此 用 户 在 加 密 时 应 该 及 时 备份 密 钥 ,这 样 以 后 即使 重 装 系统 ,也 可 利用 备份 密 钥 打开 
加 密 文件 或 文件 夹 。 

在 Windows XP 中 ,备份 密 钥 的 操作 过 程 如 下 。 

第 1 步 : 选择 “开始 ”>“ 运 行 " 命 令 , 在 “运行 "对话 框 中 输入 certmgr. msc 并 按 Enter 
键 ,打开 证 书 管理 器 ( 密 钥 的 导出 和 导入 工作 都 将 在 这 里 进行 ) 。 

第 2 步 : 在 左 侧 窗口 中 展开 “个 人 ”一 “证 书 ”, 可 以 看 见 一 个 与 用 户 名 同名 (Administrator) 的 
证 书 , 如 图 9. 4. 19 所 示 ( 如 果 用 户 还 没有 加 密 任何 数据 ,这 里 是 不 会 有 证 书 的 )。 假 如 有 多 
份 证 书 , 可 选择 预期 目的 ?为 “加密 文件 系统 ”的 那 份 。 

本 二 


Er 
和 号 [起 国王 | 其 日 革 [加 于 


各 证 - 当前 用 户 L223 
于 个 人 

加 到 
上 丑 委 信和 在 的 概 证 书 醒 发 机 树 | 





























图 9.4.19 选择 个 人 证 书 


第 3 步 : 在 右 侧 窗 口中 右 击 证 书 , 在 弹出 的 快捷 菜单 中 选择 "所 有 任务 ”一 "导出 命令 ， 
弹出 “证 书 导 出 向 导 ” 对 话 框 。 

第 4 步 : 单 击 * 下 一 步 ?按钮 ,弹出 如 图 9. 4. 20 所 示 的 导出 私 钥 对 话 框 ,在 该 对 话 框 中 
会 询问 用 户 是 否 导 出 私 钥 。 这 里 要 选择 “是 ,导出 私 钥 ” 单 选 按钮 。 


证 书 导出 何 导 


导出 故 钥 
您 可 以 选择 格 私 加 跟 证 书 一 起 导出 。 





Ea. 如 果 要 将 私 钥 限 证 书 一 起 导出 ,您 必 须 在 后 面 一 页 上 键入 密 


要 将 所 钥 跟 证 书 一 起 导出 吗 ? 
加 有 是 ,导出 和 杀 加 ) 
〇 不 , 不 要 S 出 各 外 四 ) 





图 9.4.20 导出 证 书 密 钥 





第 5 步 : 单 击 “ 下 一 步 " 按 钮 后 在 弹出 的 对 话 框 再 次 单 击 “ 下 一 步 ” 按 钮 ,弹出 如 图 9. 4. 21 
所 示 的 对 话 框 。 按 照 提示 要 求 , 输 入 和 确认 该 用 户 的 密码 后 , 单 击 “ 下 一 步 ”按钮 后 在 弹出 的 
对 话 框 中 选择 想 要 保存 的 路 径 , 单 击 " 下 一 步 " 按 钮 ,再 单 击 “ 完 成 ”按钮 ,最 后 私 钥 ( 文 件 后 缀 
为 PFX) 便 成 功 导出 。 若 在 图 9. 4. 20 中 选择 “不 ,不 要 导出 私 钥 ” 单 选 按钮 ,那么 按照 提示 
要 求 输入 后 便 可 导出 证 书 ( 文 件 后 组 为 CER) 。 


证 书 导出 疝 导 





图 9.4.21 输入 并 确认 密码 


至 此 ,导出 任务 完成 (导出 成 功 ) 。 
以 后 利用 这 些 备份 密 钥 (证 书 和 私 钥 ), 即 可 恢复 加 密 数 据 。 其 他 用 户 如 果 获 得 本 用 户 


的 备份 密 钥 ,也 能 轻松 解密 其 加 密 文件 ,因此 一 定 要 保管 好 备份 密 钥 。 
3) 找 回 EFS 加 密 文件 
当 加 密 文件 的 系统 账户 出 现 问题 或 重 装 系统 后 ,EFS 加 密 文件 就 无 法 访问 了 。 可 以 采 


用 如 下 两 种 解决 方法 。 


(1) 利用 备份 的 PFX 私 钥 。 
如 果 备份 有 PFX 私 钥 文件 ,利用 它 打开 加 密 文 件 很 容易 ,其 操作 过 程 如 下 。 


第 1 步 : 找到 备份 的 PFX 私 钥 文 件 , 右 击 该 文件 ,选择 “安装 PFX” 命 令 , 如 图 9. 4. 22 
所 示 , 弹 出 “证 书 导 入 向 导 ” 对 话 框 。 


肠 C:\Documents and Settines\Adainistrator\ TT 开始] 菜单 \ 程 序 \ 芝 3 





文件 @) 编辑 下 ) 查看 QI) 收 若 届 ) 工具 XI) 帮助 0 


























@A - 日- 讨 户 拉巴 六 H 天 | 阶 仿 XX 史 回 - 
地 址 (D) | 回 C:\Documents snd Settings\Administrator\『「 开 始 ] 菜单 \ 程 序 \ 各 理工 具 
文件 严 X 未 指定 
日 同 「 开 始 ] 菜单 Ial 
日 加 程序 
加 360 安 全 了 + | 本 汪 和 和 
轿 360 保 险 箱 (| 安装 PPTCGD) 
加 bxyoa 考 用 关 打开 方式 00) 
口 绾 理 I 具 页 使 用 360 杀 每 扫描 
加 局 动 于 WinEAR » 
田 团 后 讯 软件 人 





图 9. 4. 22 选择 PFX 私 钥 文 件 并 安装 
第 2 步 : 单 击 “ 下 一 步 ”按钮 ,在 弹出 的 对 话 框 中 输入 要 导入 的 文件 名 称 , 如 EFS. pfx， 


如 图 9. 4. 23 所 示 。 
第 3 步 : 单 击 “ 下 一 步 ” 按 钮 ,在 弹出 的 对 话 框 中 输入 当初 导出 证 书 时 输入 的 密码 ,如 
图 9.4. 24 所 示 。 章 
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和 要 导入 的 文件 
指定 要 导入 的 文件 。 








文件 各 全 
ED SA tTS LE] [Er 
注意 。 用 下 列 格式 可 以 在 一 个 文件 中 存储 一 个 以 上 证 书 

个 人 信息 交换 - PECS #12 CRPX, .P12) 

加 密 消 息 语法 标准 - FKCS 和 7 证 书 CFT8) 

出 erosoft 系列 证 书 存 储 区 C SST) 


[eT TN| 
图 9.4.23 输入 文件 名 








密码 
为 了 保证 安全 ,已 用 密码 保护 伦 角 。 





为 到 钥 键 入 窑 码 。 


口 员 可 和 和 且 罗 莹 人 贡 AR 


口 标志 此 守 钥 为 可 导出 的 。 这 将 允许 修 在 精 后 备份 或 传 镇 密 钥 中。 











图 9.4.24 输入 密码 


第 4 步 : 单 击 * 下 一 步 "按钮 ,在 弹出 的 证 书 存 储 对 话 框 中 选择 “根据 证 书 类 型 ,自动 选 
择 证 书 存储 区 ” 单 选 按钮 ,如 图 9. 4. 25 所 示 。 


证 书 存 钳 
证 书 存 健 区 是 保存 证 书 的 系统 区 城 . 





Windows 可 以 自动 选择 证 书 存储 区 ,或 者 您 可 以 为 证 书 指定 一 个 位 置 。 























图 9. 4.25 选择 证 书 存储 区 域 





第 5 步 : 单 击 “ 下 一 步 " 按 钮 并 在 弹出 的 对 话 框 中 单 击 “ 完 成 ”按钮 ,出 现 导 入 成 功 提示 。 
此 后 就 可 以 访问 EFS 加 密 文件 了 。 


(2) 利用 备份 的 CER 证 书 。 
假如 用 户 以 前 未 备份 PFX 私 钥 文件 ,但 是 备份 过 CER 证 书 ,如 果 又 重 装 了 系统 ,就 没 


有 办 法 打开 加 密 文件 了 ; 假如 用 户 还 没有 重 装 系统 , 则 可 利用 备份 的 CER 证 书 进行 类 似 


PFX 的 操作 。 
第 1 步 : 找到 备份 的 CER 证 书 文件 , 右 击 该 文件 ,并 选择 “安装 证 书 (1D) ”命令 ,如 


图 9.4.26 所 示 ,系统 将 弹出 “证 书 导入 向 导 ” 对 话 框 。 


文件 四 ”编辑 如” 查看)” 收 豪 和 ) 工具 中 姑 助 加 
@ 良 -上 日 - 讨 朋 六 | 巴 Xt 天 | 厂 启 X 回 | 回 - 
地 址 (D) | 园 c:\Docanents and Settings\Adninistrator\ [开始 」 菜单 \ 程 序 \ 徊 


国 加 Application Data| 
| 


BB Contacts 各 合用 360 久 南 扫 站 


BB Cookies 
和 » 





图 9.4.26 选择 CER 文 件 并 安装 
第 2 步 : 在 该 对 话 框 中 选择 “将 所 有 的 证 书 放 入 下 列 存储 区 " 单 选 按钮 ,并 单 击 “ 浏 览 ” 
按钮 ,如 图 9.4. 27 所 示 。 





证 书 存 钳 
证 书 存储 区 是 保存 证 书 的 系统 区 域 


Windows 可 以 自动 选择 证 书 存 和 储 区， 或 者 您 可 以 为 证 书 指定 一 个 位 置 . 























EEE CR | 
图 9.4.27 选择 存储 区 域 








第 3 步 : 在 弹出 的 选择 证 书 存 储 对 话 框 中 选择 “个 人 ”存储 区 并 单 击 “ 确 定 ” 按 钮 , 即 可 
把 证 书 导入 到 “个 人 ”存储 区 。 
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第 4 步 : 单 击 “ 确 定 ” 按 钮 ,完成 证 书 导 入 工作 。 可 看 到 证 书 “ 导 入 成 功 ”提示 。 

此 后 就 可 以 访问 EFS 加 密 文件 了 。 

4) 解密 EFS 加 密 的 文件 或 文件 夹 

如 果 用 户 要 对 已 被 EFS 加 密 过 的 文件 或 文件 夹 解 密 , 或 是 想 取消 已 对 某 个 文件 或 文件 
夹 进行 的 EFS 加密, 则 可 采取 如 下 操作 。 

第 1 步 : 打开 Windows 资源 管理 器 , 右 击 已 加 密 的 文件 或 文件 夹 , 选 择 “ 属 性 ”命令 。 

第 2 步 : 在 “常规 ”选项 卡 中 单 击 “ 高 级 ”按钮 ,弹出 “高 级 属性 ”对 话 框 ,取消 勾 选 “加 密 
内 容 以 便 保护 数据 ” 复 选 框 。 

第 3 步 : 单 击 “ 确 定 ” 按 钮 后 在 弹出 的 “确认 属性 更 改 ” 对 话 框 中 就 显示 对 属性 的 更 改 为 
“解密 ”, 如 图 9. 4. 28 所 示 ( 可 与 图 9. 4. 18 比较 ) ,最 后 单 击 “ 确 定 ” 按 钮 即 可 。 


确认 属性 更 改 


只 格 该 更 改 应 用 于 该 文件 夹 ， 还 是 同时 应 用 于 所 有 子 文件 买 和 文件 ? 





图 9.4.28 确认 属性 更 改 一 解密 


3，EFS 的 其 他 操作 

EFS 系统 除了 具有 对 文件 或 文件 夹 的 加 密 和 解密 的 功能 外 ,还 有 如 下 一 些 常用 操作 。 

1) 禁用 EFS 加 密 功能 

如 果 用 户 不 喜欢 EFS 功能 ,可 以 彻底 禁用 它 。 选 择 * 开 始 ” 一 “运行 ”命令 ,在 "运行 ?对 
话 框 中 输入 regedit 并 按 Enter 键 , 打 开 注 册 表 编辑 器 ,在 左 侧 窗口 中 依次 展开 HKEY_ 
LOCAL MACHINE—> SOFTWARE—> Microsoft—> WindowsNT—> CurrentVersion—™> EFS 
项 ,然后 新 建 一 个 Dword 值 EfsConfiguration, 并 将 其 键 值 设 为 1。 这 样本 机 的 EFS 加 密 功 
能 就 被 彻底 禁用 了 。 

2) 将 EFS 选项 添加 至 快捷 菜单 

如 果 想 将 EFS 选项 添加 至 快捷 菜单 ,其 操作 过 程 为 : 选择 “开始 ”一 “运行 ”命令 ,在 “ 运 
行 ? 对 话 框 中 输入 regedit 并 按 Enter 键 ,打开 注册 表 编 辑 器 ,在 左 侧 窗口 中 依次 展开 HKEY_ 
LOCAL_ MACHINE —> SOFTWARE —> Microsoft —> Windows —> Current Version > Explorer 一 
Advanced 项 ,然后 新 建 一 个 Dword 值 EncryptionContextMenu, 并 将 它 的 键 值 设 为 1。 注 
意 ,为 确保 对 注册 表 进 行 修改 ,应 在 自己 的 计算 机 上 拥有 管理 员 账 号 。 这 样 当 用 户 右 击 某 一 
存储 于 NTFS 磁盘 卷 上 的 文件 或 文件 夹 时 .加 密 或 解密 选项 便 会 出 现在 随后 弹出 的 快捷 菜 
单 上 。 

3) 不 加 密 加 密 文件 夹 下 的 子 文件 夹 

在 利用 EFS 加 密 的 过 程 中 用 户 常会 遇 到 这 种 情况 : 用 户 需 要 加 密 某 一 个 文件 来, 此 文 
件 夹 下 还 有 很 多 子 文件 夹 ,而 用 户 有 时 不 想 加 密 位 于 此 文件 夹 下 的 某 一 个 或 几 个 子 文件 夹 ， 


这 样 ,可 采用 如 下 两 种 方法 进行 解决 。 

方法 一 : 将 不 需要 加 密 的 子 文件 夹 剪 切 移出 ,单独 设立 文件 夹 ,脱离 与 原文 件 夹 的 关 
系 ,然后 再 加 密 原 文件 夹 。 这 也 是 很 多 用 户 常 用 的 方法 。 这 样 做 的 缺点 是 破坏 了 原来 的 目 
录 结 构 ,加 密 和 保持 原 有 的 目录 结构 产生 了 矛盾 。 

方法 二 : 在 不 需要 加 密 的 子 文件 夹 下 建立 一 个 名 为 Desktop. ini 的 文件 ,打开 该 文件 并 
录 和 人 以下 内 容 : 





[encryption] 

Disable=1 

录入 完毕 保存 并 关闭 该 文件 。 这 样 ,以 后 如 要 加 密 其 父 文件 夹 , 当 加 密 到 该 子 文件 夹 时 
就 会 遇 到 错误 的 信息 提示 , 单 击 “ 忽 略 " 按 钮 后 即 可 跳 过 对 该 子 文件 夹 的 加 密 , 而 其 父 文件 夹 
的 加 密 不 会 受到 影响 。 

4) 在 命令 提示 符 下 加 密 /解密 文件 

如 果 用 户 不 喜欢 在 图 形 界面 操作 ,还 可 以 在 命令 提示 符 下 用 cipher 命令 完成 对 文件 或 
文件 夹 的 加 密 /解密 操作 。 其 命令 格式 为 : 


cipher [/e /d] 文 件 夹 或 文件 名 [参数 ] 


如 要 为 C 盘 根 目 录 下 的 ABCD 文件 夹 加 密 , 就 输入 “cipher /e c:\ABCD” 并 按 Enter 键 
即 可 。 如 要 对 该 文件 夹 进行 解密 , 则 输入 “cipher /d c:\ABCD" 并 按 Enter 键 即 可 。 格 式 中 
e 是 加 密 参 数 ,d 是 解密 参数 ,其 他 更 多 的 参数 和 用 法 请 在 命令 提示 符 后 输入 “cipher /?” 查 
询 即 可 得 到 。 


9.5 网 络 安全 防护 的 应 用 


本 节 主 要 介绍 网 络 防 火 墙 防 病 毒 软件 、 木 马 查 杀 软件 、 网 络 扫描 工具 、 网 络 嗅 探 工 具 、 
网 络 攻击 的 防范 和 虚拟 专用 网 (VPN) 等 七 个 网 络 安全 防护 应 用 设置 实例 。 


9.5.1 网 络 防火 墙 设 置 实例 一 一 高 级 安全 Windows 防火 墙 设置 


一 般 情况 下 ,在 使 用 Windows 系统 时 ,只 需要 设置 一 下 Windows 防火 墙 即 可 。 但 当 需 
要 对 进出 端口 进行 设置 或 对 某 些 程序 进行 精确 控制 时 , 则 需要 使 用 高 级 安全 Windows 防火 
墙 。Windows Server 2008 中 的 高 级 安全 Windows 防火 墙 C(WFAS) 是 支持 双向 保护 的 , 它 
将 防火 墙 的 规则 分 为 人 站 规则 和 出 站 规则 两 部 分 ,其 默认 是 对 内 阻止 对 外 开放 的 。 此 外 ， 
它 将 Windows 防火 墙 功 能 和 Internet 安全 协议 (IPSec) 集成 到 一 个 控制 台 , 即 不 论 是 对 服 
务 器 的 管理 ,还 是 高 级 安全 Windows 防火 墙 都 是 将 相连 的 管理 集中 到 一 个 控制 台中 。 

在 Windows Server 2008 高 级 防火 墙 配置 中 ,通过 使 用 配置 规则 来 响应 传人 和 传 出 流 
量 , 以 便 确定 允许 或 阻止 哪 种 数据 流量 。 当 传人 数据 包 到 达 计 算 机 时 ,防火 墙 检 查 该 数据 
包 , 并 确定 它 是 否 符合 人 站 规则 中 指定 的 标准 ,如 果 符 合 规则 中 指定 的 操作 , 则 防火 墙 将 执 
行 该 操作 ; 如 果 数 据 包 与 规则 中 的 标准 不 匹配 , 则 丢弃 该 数据 包 , 并 在 防火 墙 日 志 中 创建 相 
应 条 目 。 例 如 在 一 台 服 务 器 上 安装 了 FTP 服务 ,因为 默认 下 禁止 FTP 入 站 连接 ,所 以 要 新 
建 一 条 入 站 规则 来 实现 连接 。 对 规则 进行 配置 时 ,可 以 从 各 种 标准 中 进行 选择 ,包括 应 用 程 
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序 名 称 、 系 统 服 务 名 称 、 系 统 端 口 、IP 地 址 等 。 下 面 就 通过 不 同 的 实例 ,分 别 介绍 高 级 安全 
Windows 防火 墙 人 站 规则 和 出 站 规则 的 设置 。 

1. 入 站 规则 

入 站 规则 明确 允许 或 阻止 与 规则 条 件 匹 配 的 通信 。 在 默认 情况 下 将 阻止 人 站 通信 , 若 
要 允许 通信 ,必须 创建 一 个 人 站 规则 。 例 如 ,在 一 台 服 务 器 (192. 168. 1. 25) 上 安装 并 启用 
FTP 服务 后 ,防火 墙 中 将 添加 一 条 允许 所 有 FTP 入 站 连接 的 入 站 规则 。 如 果 要 配置 防火 
墙 规则 以 阻止 某 客户 端 192. 168.1. 10 通过 FTP 连接 到 服务 器 ,而 允许 其 他 客户 端 都 能 通 
过 FTP 连接 到 服务 器 ,其 具体 操作 步骤 如 下 。 

第 1 步 : 通过 "所 有 程序 "> 管理 工具 ”命令 打开 “高 级 安全 Windows 防火 墙 ?窗口 , 右 
击 “ 入 站 规则 ”选项 ,选择 “新 建 规则 ”命令 ,弹出 如 图 9. 5. 1 所 示 的 “新 建 入 站 规则 向 导 ” 对 话 
框 ,在 “规则 类 型 "页 面 中 选择 "端口" 单 选 按钮 。 
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图 9.5.1 选择 防火 墙 规则 类 型 


第 2 步 : 单 击 * 下 一 步 ? 按 钮 ,出 现 如 图 9. 5. 2 所 示 的 页 面 ; 在 “协议 和 端口 ”页面 中 选择 
TCP 和 “特定 本 地 端口 " 单 选 按钮 ,并 输入 端口 号 21 。 

第 3 步 : 单 击 “ 下 一 步 "按钮 ,在 操作 页 面 中 选择 “阻止 连接 " 单 选 按钮 ,再 单 击 “ 下 一 步 ” 
按钮 ,出 现 如 图 9.5.3 所 示 的 “配置 文件 ”页面 。 

第 4 步 : 防火 墙 有 域 . 专 用 和 公用 三 个 配置 文件 .分 别 用 于 域 环境 、 单 机 环境 和 公用 环 
境 。 一 般 可 以 勾 选 “ 域 “专用 ”和 “公用 ” 复 选 框 以 便 设 定 的 规则 适用 于 各 种 环境 。 在 “配置 
文件 ”页面 中 色 选 * 域 * 专 用 ”“ 公 用” 复 选 框 , 单 击 “ 下 一 步 ” 按 钮 ,在 出 现 的 名称” 页 面 中 
输入 名 称 *FTP 入 站 ”和 描述 “阻止 FTP 入 站 ”, 单 击 “ 完 成 ”按钮 ,基本 入 站 规则 即 设置 
完成 。 

第 5 步 : 然后 ,再 右 击 “入 站 规则 ?中 的 “FTP 入 站 ”规则 .选择 “属性 ”命令 ,在 弹出 的 对 
话 框 中 的 “作用 域 * 选 项 卡 中 添加 本 地 IP 地 址 (192. 168. 1. 25) 和 要 阻止 的 远程 IP 地 址 
(192.168.1. 10) , 单 击 “确认 ”按钮 , 即 可 在 右 侧 窗口 中 看 到 如 图 9. 5.4 所 示 的 “FTP 入 站 ” 
规则 了 。 


该 规则 应 用 于 TCF 还 是 UDP? 


CE 
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图 9.5.2 选择 协议 和 端口 
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图 9.5.3 选择 配置 文件 
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图 9.5.4 FTP 入 站 规则 设置 


这 样 ,在 IP 地 址 为 192. 168. 1. 10 的 计算 机 上 通过 ftp://192. 168.1. 25 访问 FTP 服务 
器 时 就 会 出 现 无 法 访问 提示 ,而 在 其 他 IP 地 址 的 计算 机 上 即 可 通过 ftp://192. 168. 1. 25 
正常 访问 FTP 服务 器 了 。 

2. 出 站 规则 

出 站 规则 明确 允许 或 阻止 来 自 与 规则 条 件 匹 配 或 不 匹配 的 计算 机 的 通信 。 若 要 阻止 一 
个 出 站 通信 通过 防火 墙 到 达 某 一 台 计 算 机 ,而 允许 同样 的 通信 到 达 其 他 计算 机 ,必须 创建 出 
站 规则 来 阻止 该 通信 。 例 如 ,有 一 台 远 程 Web 服务 器 的 IP 地 址 为 192. 168. 1. 10 ,本 地 计算 
机 的 默认 出 站 连接 设置 为 允许 , 则 通过 出 站 规则 阻止 本 地 计算 机 通过 IE 访问 Web 服务 器 
的 具体 操作 步骤 如 下 。 

第 1 步 : 通过 "所 有 程序 ”一 "管理 工具 ”命令 打开 ”高 级 安全 Windows 防火 墙 ”窗口 , 右 
击 “ 出 站 规则 ”选项 ,选择 “新 建 规则 ”命令 ,在 "规则 类 型 "页 面 中 选择 要 创建 的 规则 类 型 为 
“程序 ”, 如 图 9. 5.5 所 示 。 























图 9.5.5 新 建 出 站 规则 


第 2 步 : 单 击 “ 下 一 步 " 按 钮 ,在 “程序 ”页 面 中 选择 “此 程序 路 径 ” 单 选 按 钮 ,并 在 其 下 的 
文本 框 中 输入 “*%ProgramFiles%\InternetExplorer\ iexplore. exe”, 如 图 9. 5.6 所 示 。 


CA) 
规则 应 用 于 与 其 他 规则 属性 相 罗 ER 计算 机 上 的 所 有 连接 。 
WProgr nFilesh\InternetExplorer\ iexplore exe 


示例 ce:\path\progran, exe 
NProgr wnFilesX\brorser\bronser. exe 











图 9.5.6 输入 程序 路 径 


第 3 步 : 单 击 “ 下 一 步 "按钮 ,在 “操作 ”页 面 中 选择 "阻止 连接 " 单 选 按钮 , 单 击 “ 下 一 步 ” 
按钮 后 ,在 弹出 的 “配置 文件 ”页面 中 色 选 * 域 “专用 ”“ 公 用" 复 选 框 , 单 击 “ 下 一 步 ” 按 钮 ,出 
现 如 图 9. 5.7 所 示 的 “名 称 ” 页 面 。 

















图 9.5.7 指定 出 站 规则 名 称 


第 4 步 : 在 “名 称 ” 页 面 中 的 “名 称 ”文本 框 中 输入 “IE 出 站 ”在 “描述 "文本 框 中 输入 “ 阻 
止 下 出 站 ”, 单 击 “ 完 成 "按钮 , 即 完成 出 站 规则 的 设置 。 再 选择 “出 站 规则 ”选项 ,可 在 右 侧 
窗口 中 看 到 创建 的 "IE 出 站 ”规则 ,如 图 9. 5. 8 所 示 。 

上 述 操作 完成 后 ,在 本 地 计算 机 上 通过 正 访问 Web 服务 器 ,就 会 出 现 “IE 无 法 显示 该 | 9 
页 面 ”的 提示 ,说 明 在 本 地 计算 机 上 通过 IE 访问 Web 服务 器 是 被 禁止 的 。 章 
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图 9.5.8 查看 出 站 规则 


通过 对 入 站 和 出 站 规则 的 合理 设置 ,系统 的 安全 性 将 大 大 增强 ,从 而 能 够 更 有 效 地 增强 
计算 机 的 安全 性 。 


9.5.2 防 病 毒 软件 应 用 实例 一 一 瑞星 杀毒 软件 V17 的 应 用 


防 病毒 软件 是 用 于 消除 计算 机 中 病毒 和 恶意 程序 的 一 类 软件 ,它们 通常 集成 监控 识别 、 
病毒 扫描 和 自动 升级 功能 ,是 构成 网 络 系统 安全 的 必要 防御 系统 ,是 保障 用 户 数据 安全 的 屏 
障 。 防 病毒 软件 的 发 展 经 历 了 从 进口 到 国产 ,从 单一 功能 到 综合 应 用 ,从 收费 使 用 到 免费 使 
用 的 过 程 ,目前 使 用 较 多 的 进口 软件 有 诺顿 ,卡巴 斯 基 、 迈 克 菲 思 等 类 ,国产 防 病毒 软件 有 江 
民 .瑞星 .金山 等 类 ,大 部 分 的 防 病毒 软件 从 注册 用 户 购 买 付 费 使 用 逐步 过 渡 到 注册 用 户 免 
费 下 载 使 用 ,甚至 现在 国产 的 防 病毒 软件 都 无 须 注 册 可 直接 免费 下 载 使 用 。 大 部 分 用 户 都 
会 为 自己 的 计算 机 安装 一 款 甚至 是 多 款 防 病毒 软件 。 

下 面 以 瑞星 杀毒 软件 V17 为 例 简 单 介绍 防 病毒 软件 的 应 用 。 

瑞星 杀毒 软件 是 北京 瑞星 信息 技术 股份 有 限 公司 出 品 的 安全 软件 。 该 软件 目前 最 新 版 
本 是 V17。 瑞 星 杀毒 软件 V17 采用 瑞星 最 先进 的 四 核 杀 毒 引 擎 ,性 能 强劲 ,能 针对 网 络 中 
流行 的 病毒 ,木马 进行 全 面 查 杀 ,同时 加 入 内 核 加 固 .应 用 入 口 防护 、 下 载 保 护 、 聊 天 防护 、 视 
频 防护 、 注 册 表 监控 等 功能 ,可 帮助 用 户 实现 多 层次 全 方位 的 信息 安全 立体 保护 。 该 版 本 可 
运行 在 Windows XP SP2 十 /Windows 7/Windows 8/Windows 10 以 及 相关 的 X64 位 系统 
中 。 具 有 病毒 查 杀 、 计 算 机 防护 、 计 算 机 优化 功能 ,并 提供 多 种 安全 工具 应 用 。 瑞 星 杀 毒 软 
件 的 操作 界面 如 图 9. 5.9 所 示 。 

1. 软件 的 安装 

瑞星 杀毒 软件 可 以 从 官网 下 载 ,下 载 地 址 : http://www. rising. com. cn/ 。 软 件 下 载 完 
成 后 ,双击 其 执行 程序 RavV17std. exe, 进 入 安装 过 程 。 该 软件 的 安装 已 经 高 度 自动 化 ,用 
户 可 以 选择 快速 安装 (如 图 9. 5. 10 所 示 ) 或 选择 自 定义 安装 ,按照 选择 语言 (如 中 文 简体 ) 一 
接受 用 户 许可 协议 一 选择 安装 组 件 一 设置 安装 路 径 等 操作 顺序 完成 软件 的 安装 。 安 装 完成 
后 会 自动 检测 病毒 库 ,如 果 发 现 新 的 病毒 库 会 提示 用 户 进行 升级 (如 图 9. 5. 11 所 示 )。 新 版 
本 与 以 前 版 本 的 区 别 在 于 不 再 强行 重新 启动 系统 就 能 使 用 ,但 要 完全 发 挥 软件 的 功能 ,在 安 
装 设置 完成 后 重新 启动 计算 机 的 操作 系统 是 必要 的 。 

2. 软件 的 应 用 

软件 程序 安装 后 ,进入 操作 界面 ,共有 “病毒 查 杀 ”电脑 防护 “电脑 优化 “安全 工具 ”四 


瑞星 杀毒 软件 





图 9.5.9 瑞星 杀毒 软件 操作 界面 


瑞星 杀毒 软件 vi7 


WE 主页 : haoriksingcn 





图 9.5. 10 瑞星 杀毒 软件 的 安装 


项 功能 选择 ,各 项 功能 的 使 用 可 根据 向 导 说 明 进 行 。 
(1) 病毒 查 杀 。 进 入 病毒 查 杀 选项 后 用 户 可 选择 病毒 的 查 杀 方式 ,如 图 9. 5. 12 所 示 ， 
接 下 来 根据 窗口 提示 对 查 出 的 病毒 进行 处 理 。 
(2) 电脑 防护 。 进 入 电脑 防护 选项 后 用 户 可 以 非常 直观 地 看 到 系统 所 需要 的 各 类 防 | 第 
护 , 并 且 通 过 单 击 开 关 按钮 来 打开 或 关闭 防护 ,操作 非常 简便 ,如 图 9. 5. 13 所 示 。 9 
章 
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图 9.5.12 病毒 查 杀 应 用 
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图 9.5.13 电脑 防护 应 用 


(3) 电脑 优化 。 进入 电脑 优化 选项 后 ,用 户 可 根据 软件 窗口 的 提示 对 系统 进行 优化 操 
作 , 如 清理 垃圾 、 释 放 内 存 和 加 速 处 理 ( 开 机 加 速 、 网 络 加 速 、 系 统 加 速 ) 等 。 

(4) 安全 工具 。 瑞 星 杀 毒 软件 还 提供 了 许多 安全 工具 。 这 些 安全 工具 主要 有 瑞星 安全 
产品 (如 瑞星 防火 墙 、 瑞 星 安全 助手 、 软 件 管家 、 账 号 保险 柜 、 安 全 游戏 等 ) 和 系统 优化 产品 
(如 系统 修复 、 文 件 粉 碎 器 、 进 程 管理 器 、 隐 私 痕迹 清理 、 网 络 诊断 、 网 速 测试 .网 络 查 看 器 等 ) 
两 大 类 。 进 入 安全 工具 界面 后 用 户 可 以 方便 地 获取 各 类 安全 工具 软件 , 即 可 应 用 这 些 软 件 
进行 系统 安全 防护 。 

瑞星 杀毒 软件 使 用 完成 后 ,用 户 可 关闭 主 界 面 ,同时 瑞星 处 于 后 台 运 行 状态 对 系统 予以 
保护 ,用户 可 以 在 计算 机 的 状态 栏 中 看 到 一 把 打开 的 绿 伞 , 桌 面 边缘 有 资源 使 用 悬浮 条 。 


9.5.3 木马 查 杀 软件 应 用 实例 一 一 木马 清除 大 师 软 件 的 应 用 


木马 清除 大 师 安 全 套装 V8 是 Lofocus Lab (洛克 思 安 全 实验 室 ) 为 网 络 游戏 爱好 者 、 聊 
天 爱好 者 等 量 身 定做 的 查 杀 木马 病毒 软件 ,目前 已 经 能 查 杀 500 万 余 种 国际 国内 的 流行 木 
马 ,如 网 络 游戏 盗号 工具 .QQ 资 密码 工具 、 山 灵 后 门 、 流 谍 软 件 和 间谍 软件 等 。 木 马 清除 大 
师 软 件 可 以 扫描 注册 表 、Cookies、 隐 私 纪录 、 系 统 服务 .敏感 区 域 等 ,并 加 强 了 对 木马 的 启发 
式 扫 描 , 木 马 即 使 逃脱 静态 特征 码 查 杀 ,也 无 法 逃 过 启发 式 扫 描 。 木 马 清除 大 师 软 件 可 运行 
在 Windows XP SP2 十 /Windows 7/Windows 8/Windows 10 以 及 相关 的 X64 位 系统 中 。 

1. 软件 的 安装 

木马 清除 大 师 软 件 的 官方 网 站 地 址 是 http://www. lofocus. com, 用 户 可 以 从 官网 上 下 
载 最 新 的 版 本 。 软 件 下 载 完成 后 运行 安装 程序 "BTSecuritySuiteV8. exe”( 双 击 该 程序 即 可 
启动 安装 )。 安 装 过 程 非常 简便 ,按照 选择 所 需 套 件 一 确定 安装 路 径 一 升级 注册 等 操作 顺 
序 ,用户 基 本 上 只 需 单 击 * 下 一 步 ?按钮 就 可 以 了 。 

安装 过 程 中 会 启动 配置 向 导 对 程序 的 特征 库 进 行 升级 ,指导 用 户 配置 实施 监控 模式 ,对 
软件 进行 注册 以 达到 最 佳 的 查 杀 效果 和 服务 支持 ,如 图 9. 5. 14 所 示 。 
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图 9.5.14 配置 监控 模式 
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2. 大 师 软件 的 应 用 

木马 清除 大 师 由 三 个 功能 程序 组 成 , 即 木 马 清除 大 师 V8、 木 马 清除 大 师 防 火 墙 V4 和 
Windows 升级 精灵 。 

(1) 木马 清除 大 师 V8。 该 功能 程序 的 全 新 启发 式 扫描 引擎 ,使 得 不 在 病毒 库 中 的 恶意 
程序 也 能 扫描 到 ,并 可 在 源头 拦截 恶意 程序 ; 其 流 谍 软 件 智能 识别 引擎 能 判断 用 户 运行 的 
程序 是 否 是 流氓 软件 ; 其 误 报 控制 系统 可 使 误 报 率 显著 降低 ; 其 文件 系统 实时 防护 功能 可 

i 恶意 程序 只 要 在 硬盘 生成 就 会 被 清除 ; 其 全 新 的 主动 防御 优化 了 32 位 系统 的 防御 ,新 增 
多 种 防御 点 ,完全 支持 64 位 系统 ,在 拦截 网 络 事件 时 更 加 人 性 化 ,用 户 不 仅 可 以 随时 在 事件 
页 面 中 查看 被 拦截 的 详细 信息 ,还 可 以 在 拦截 行为 发 生 时 得 到 实时 提示 提升 自我 防护 。 

木马 清除 大 师 V8 功能 程序 具有 状态 显示 (可 查看 当前 状态 /组 件 状 态 ) 扫描、 软件 设 
置 .安全 工具 使 用 和 软件 注册 等 操作 功能 ,如 图 9. 5. 15 所 示 。 其 主要 是 扫描 功能 , 单 击 “ 扫 
描 ” 功 能 项 ,根据 向 导 的 指示 可 对 系统 进行 全 面 扫描 并 处 理 扫描 结果 ,还 可 对 硬盘 进行 扫描 
和 处 理 。 
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您 的 系统 已 受到 全 面 保护 Sb ie 105 
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图 9.5.15 木马 清除 大 师 V8 的 功能 


(2) 木马 清除 大 师 防 火 墙 V4。 该 功能 程序 是 一 款 简 单纯 粹 的 网 络 防火 墙 , 且 终身 免费 
使 用 。 它 易于 操作 且 功 能 强大 ,是 防止 黑客 攻击 的 重要 工具 。 在 保持 强大 的 防护 性 能 前 提 
下 ,木马 清除 大 师 防 火 墙 V4 除了 具有 网 络 防火 墙 的 基本 功能 外 ,还 具有 实时 监测 网 络 连 线 
的 功能 ,可 以 看 到 每 个 网 络 连 接 对 应 的 进程 路 径 、 远 程 IP 和 网 络 速度 ,甚至 还 能 查询 远程 
IP 对 应 的 地 理 位 置 ( 如 图 9. 5. 16 所 示 )。 有 经 验 的 用 户 可 以 根据 远程 端口 .本 地 端口 等 判 
断 网 络 连接 是 否 可 疑 ,如 果 怀 疑 是 恶意 行为 ,用 户 就 可 以 随时 禁止 程序 的 联网 行为 ,这 是 防 
范 各 种 高 级 木马 (如 Rootkit) 的 利器 。 利 用 木马 清除 大 师 防 火 墙 V4, 用 户 可 以 清楚 地 查看 


到 哪些 程序 在 连接 网 络 , 网 速 值 是 多 少 , 因 此 可 以 限制 非法 联网 程序 连接 网 络 。 木 马 清 除 大 
师 防 火 墙 V4 内 置 的 智能 识别 引擎 ,每 当 有 程序 试图 访问 网 络 或 进行 网 络 通信 时 ,引擎 会 自 
动 探测 此 连接 是 否 可 疑 ,并 返回 三 个 危险 等 级 给 用 户 选 择 , 所 以 对 计算 机 系统 不 熟悉 的 用 户 
也 能 轻松 地 使 用 该 功能 程序 。 木 马 清除 大 师 防 火 墙 V4 还 会 在 计算 机 的 任务 栏 上 实时 显示 
流量 占用 悬浮 窗 ,方便 用 户 监测 网 速 等 。 
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图 9.5.16 木马 清除 大 师 防 火 墙 V4 的 功能 


(3) Windows 升级 精灵 。 该 功能 程序 能 帮助 修复 Windows 操作 系统 .IE 浏览 器 和 
Windows Media Player、. NET FrameWork .Office 办 公 软 件 的 漏洞 和 大 量 第 三 方 软件 , 同 
时 支持 32 位 和 64 位 Windows 系统 ,如 Windows 2000/XP/2003/Vista/Windows 7/ 
Windows 7 X64/Windows 8, 并 自 带 在 线 升级 功能 .随时 将 漏洞 库 升级 到 最 新 。 该 功能 程序 
的 软件 功能 强大 ,更 新 安装 的 整个 过 程 可 全 自动 运行 ,不 仅 能 修复 漏洞 ,还 能 将 系统 软件 升 
级 到 最 新 ,如 图 9.5.17 所 示 。 


9.5.4 网 络 扫描 工具 应 用 实例 


网 络 扫描 工具 SuperScan 是 由 Foundstone 开发 的 一 款 免 费 且 功能 强大 的 网 络 安全 工 
具 ,当然 它 也 是 一 款 黑 客 工 具 。 黑 客 可 以 利用 其 拒绝 服务 攻击 (DoS) 收 集 远 程 网 络 的 主机 
信息 。 作 为 安全 工具 ,SuperScan 能 够 帮助 用 户 扫 描 检 查 网 络 中 的 弱点 。 

SuperScan 是 一 款 功 能 强大 的 网 络 主机 及 端口 扫描 工具 软件 ,具有 如 下 主要 功能 。 

。 通过 ping 来 检验 IP 是 否 在 线 。 

。 IP 地 址 与 域名 相互 转换 。 

。 检验 目标 计算 机 提供 的 服务 类 别 。 

。 检验 目标 计算 机 是 否 在 线 及 其 端口 情况 。 

。 自 定义 要 检验 的 端口 并 可 保存 为 端口 列表 的 文件 。 
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图 9.5.17 Windows 升级 精灵 的 功能 


目前 SuperScan 的 版 本 更 新 至 4.0, 新 版 本 可 在 Windows 7 及 以 上 的 操作 系统 中 运行 ,并 
已 经 有 汉化 版 本 供 国 内 用 户 使 用 。 对 一 些 老 版 本 的 操作 系统 ,用 户 可 使 用 其 SuperScan3.0 版 。 

下 载 SuperScan4. 0 并 解压 后 ,在 桌面 会 有 一 个 名 为 SuperScan4. exe 的 运行 文件 ,双击 
该 文件 即 可 进入 SuperScan4. 0 软件 的 主 界面 ,如 图 9. 5. 18 所 示 , 其 界面 清晰 简洁 。 


要 入 “| 主机 和 服务 扫 痢 设置 | 扫 握 选 珊 | 工具 “| windows 榴 尝 | 关于 | 
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开始 开 xX| 
结束 开 XX| 

从 文 件 访 了 TP 地 址 一 ”| 
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图 9.5.18 SuperScan4.0 主 界面 


1. SupersScan4.0 的 扫描 操作 

打开 主 界面 后 ,默认 显示 为 “扫描 ”(Scan) 选 项 卡 ,用 户 可 以 在 其 中 输入 一 个 或 多 个 主机 
名 或 了 范围 ,也 可 以 选择 文件 ,导入 所 包含 的 地 址 列表 。 输 入 主机 名 或 IP 范围 后 , 单 击 文 
本 框 右 侧 的 箭头 按钮 导入 ,再 单 击 “ 运 行 " 按 钮 (下 端的 三 角 按 钮 局 ) ,SuperScan 开始 扫描 地 
址 ,如 图 9.5. 19 所 示 。 











扫 擅 ”| 主机 和 服务 扫 奖 设置 | 扫 据 选 顶 | 工具 “| Windows 枚 举 | 关 于 | 
-IP 地 址 
主机 和 /I -2 [8 3 [ 。” __ 光 队 所 这 
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结束 于 XX|[21 50 .56 254 

从 文件 该 取 二 地 址 一 ”| 


Live hosts this batrch: 22 





211.80.86.2 
Hostrame: [Unknown] 

UDP porrs (6 
9,11,67,69,69,111,123,137, 161, 191, 256, 445, 500, 520, 1009, 1024, 1025, 1027, 1029, 1030, 
1035,1041, 1060, 1645,1646, 1912, 1813, 1900, 1978, 2002,2049, 2161, 2301, 2365, 2967, 3179, 
4045, 4156, 4296, 4469, 5631, 11487, 32768, 32771, 32772, 32773, 32774, 32775, 32776, 32777,3 
2778, 32779, 32780, 32784, 32786, 32787, 32788, 32789, 32790, 43981 





Performing banner grabs--- 
TCP banner grabbing (0 ports) 
UDP banner grabbing (879 ports) 

Reporting scan results... 


Discovery scan finished: 03/30/17 10:09:30 


DT 








[tve: 22 [tcpoper:0 |UDP open: 879 [254/254 done 





图 9.5.19 对 输入 的 IP 地 址 段 进行 扫描 


扫描 进程 结束 后 ,SuperScan 将 提供 一 个 主机 列表 , 列 出 每 台 扫描 过 的 主机 被 发 现 的 开 
放 端 口 信息 。SuperScan 还 具有 选择 以 HTML 格式 显示 信息 的 功能 ,如 图 9. 5. 20 所 示 。 
2. 关于 主机 和 服务 器 扫描 选项 
很 多 时 候 用 户 需 要 定制 扫描 内 容 : 以 获取 自己 所 需 的 信息 。 通 过 定制 扫描 设置 可 以 在 
扫描 时 查看 到 更 多 信息 ,如 图 9.5. 21 所 示 。 
窗口 上 部 是 “查找 主机 ”(Host Discovery) 选 项 组 。 默认 时 是 通过 回 显 请 求 (echo 
redquests) 发 现 主 机 的 ,通过 选择 或 取消 各 种 扫描 方式 选项 ,用 户 也 可 通过 利用 时 间 戳 请求 
(timestamp)、 地 址 掩 码 请 求 (address mask requests) 和 消息 请 求 (information requests) 来 
发 现 主机 。 但 选项 越 多 ,扫描 用 的 时 间 就 越 长 。 
如 果 想 要 尽量 多 地 收集 一 个 明确 的 主机 信息 .建议 首先 执行 一 次 常规 的 扫描 以 发 现 主 
机 ,然后 再 利用 可 选 的 请 求 选项 来 扫描 。 在 窗口 的 中 下 部 .还 有 “UDP 端口 扫描 ”和 “TCP 
端口 扫描 ”选项 组 。 加 
3. 关于 扫描 选项 二 
利用 扫描 选项 (如 图 9. 5. 22 所 示 ) 人 允许 进一步 地 控制 扫描 进程 。 窗 口中 最 上 方 的 选项 | 章 
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@ SuperScan Report x 
< > CO Wm file///C/Users/Administrator/Desktop/reporthtml 
SuperScan Report - 03/30/17 10:06:10 








图 9.5.20 以 HTML 格式 显示 的 扫描 信息 


组 是 定制 扫描 过 程 中 主机 和 通过 审查 的 服务 数 .“1? 是 默认 值 ,一 般 来 说 已 经 足够 了 ,除非 
网 络 的 连接 不 太 可 靠 。 在 扫描 选项 中 ,能 够 控制 扫描 速度 和 通过 扫描 的 数量 ,还 能 够 设置 主 
机 名 解析 的 数量 。 

扫描 选项 中 “获取 标志 ”选项 组 的 设置 : 该 选项 是 通过 显示 一 些 信息 尝试 得 到 远程 主机 
的 回应 。 默 认 的 设置 延迟 是 8000ms, 如 果 所 连接 的 主机 较 慢 ,这 个 时 间 就 显 的 不 够 长 ,需要 
增加 延迟 。 右 侧 的 滚动 条 用 于 调节 扫描 速度 ,非常 直观 ,能 够 利用 它 来 调节 SuperScan 在 发 
送 每 个 包 时 所 要 等 待 的 时 间 。 最 快 的 扫描 是 调节 滚动 条 为 0。 但 扫描 速度 设置 为 0 时 ,有 
数据 包 被 溢出 的 潜在 可 能 。 为 了 避免 由 于 扫描 速度 过 快 而 引起 的 数据 包 溢 出 ,可 以 调 慢 扫 
描 的 速度 。 

4. 关于 工具 选项 

SuperScan 的 工具 选项 (Tools) 是 非常 有 用 的 选项 之 一 。 它 可 使 用 户 很 快 地 得 到 一 台 
主机 的 许多 信息 。 输 入 所 要 探测 主机 的 正确 主机 名 或 者 IP 地 址 和 默认 的 连接 服务 器 ,然后 
单 击 要 得 到 相关 信息 的 按钮 ,SuperScan 就 会 调用 相应 的 工具 对 主机 进行 探测 并 且 返 回 所 

















扫 咎 。 主机 和 服务 扫 指 访 短 | 扫 往 先 项 | 工具 “| Windows 枚 学 | 关于 | 
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Tcp open: 0 


UDP open: 879 [254/254 done 
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得 到 的 各 种 信息 。 例 如 ping 一 台 服 务 器 、 跟 踪 所 经 过 的 路 由 、 发 送 一 个 HTTP 请 求 即 可 得 
到 关于 主机 的 相应 信息 ,如 图 9. 5. 23 所 示 。 


扫 撕 | 主机 和 服务 扫 指 设置 | 扫 撕 选 硕 工具 。 |Winaows 被 尝 | 关 于 | 
在 机 名 /IP/URL fr jt ede en 





_» | 查找 主机 名 /Tr 








repopen:0 |UDP open: 879 |254/254 done 


图 9. 5.23 通过 不 同 的 工具 按钮 获得 主机 的 各 类 信息 


5. 关于 Windows 枚 举 选项 

SuperScan4. 0 的 最 后 一 个 功能 选项 是 Windows 枚 举 选 项 ,该 选项 将 主机 的 网 络 应 用 
信息 非常 直观 地 反映 给 用 户 。 如 果 用 户 需要 获取 一 个 已 经 确认 的 Windows 主机 信息 ,利用 
该 选项 是 很 方便 的 ,其 能 够 提供 从 单个 主机 到 用 户 群 组 ,再 到 协议 策略 的 所 有 信息 , 如 
图 9. 5. 24 所 示 。 该 选项 给 人 们 最 深刻 的 印象 是 它 能 产生 大 量 的 透明 信息 ,这 些 信息 对 于 分 
析 网 络 威胁 ,加 强 网 络 安全 是 非常 有 用 的 。 


9.5.5 网 络 唤 控 工 具 应 用 实例 


网 络 嗅 探 工具 Wireshark 是 一 个 网 络 封包 分 析 软 件 ,其 功能 是 抓 取 网 络 封包 ,并 通过 分 
析 尽 可 能 多 地 解析 出 最 为 详细 的 网 络 封包 资料 。 网 络 管理 员 可 使 用 Wireshark 检测 网 络 问 
题 , 查 找 网 络 运 行 中 的 故障 ,提高 网 络 运行 的 稳定 性 和 可 靠 性 ,为 使 用 者 提供 一 个 安全 的 网 
络 应 用 环境 。 

1，Wireshark 的 安装 与 设置 

下 载 Wireshark 的 安装 文件 并 运行 该 文件 ,接受 许可 协议 (license agreement) ,设置 安 
装 路 径 , 选 择 安装 组 件 ,如 图 9. 5. 25 所 示 。 因 为 Wireshark 使 用 WinPCAP 作为 接口 ,直接 
与 网 卡 进行 数据 报 文 交 换 , 所 以 在 安装 过 程 中 会 自动 检测 安装 环境 , 提示 用 户 安装 必要 的 
WinPCAP 组 件 , 如 图 9. 5. 26 所 示 。 组 件 安装 完成 后 ,安装 过 程 会 自动 完成 剩 下 的 步 又 ,并 
在 桌面 生成 程序 运行 的 快捷 方式 。 
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Remore services on 211.80.86.55 








ftcpopen:0 |UDP open: 879 [254/254 done 





图 9.5.24 枚 举 主机 的 相关 信息 


Choose which features of Wreshark 2.2.1 (32-bit) you want to install. 





The folowing components are avalable for nstallabon. 















































图 9.5.25 选择 安装 组 件 


2. Wireshark 的 应 用 
(1) 确定 Wireshark 选用 的 网 络 连接 接口 ,软件 中 将 其 称 为 过 滤器 。 该 接口 就 是 用 户 
计算 机 连接 网 络 的 接口 ,一 般 是 有 线 网 卡 或 无 线 网 卡 接口 ,也 有 特殊 的 蓝牙 或 红外 接口 ,如 
图 9. 5. 27 所 示 是 选 定 Wireshark 使 用 无 线 网 络 接口 。 
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Install WinPcap? 
Wnpcap s requred to capture live network data. Should Wnpcap be nstaled? 





ee oe 
Vr 


urrently ct instaled 


Iinstal 
团 Instal wnpcap 4.13 
(Use Add/Remove Programs first to unnstal any undetected old Winpcap versons) 





























… 使 用 这 个 过 源 器 铺 入 捕 蒋 过 站 器 











ee NW 
回 UsaPpcapl 
加 Usarcap2 
® UsePpcap3 





图 9. 5.27 确定 Wireshark 使 用 的 网 络 接口 


(2) 利用 捕获 功能 抓 取 通过 接口 的 数据 包 。 确 定 使 用 的 过 滤器 后 Wireshark 对 经 过 这 
个 接口 的 数据 包 进 行 抓 取 , 数 据 包 的 大 小 根据 用 户 所 需要 获取 的 数据 量 来 决定 ,数据 包 越 
大 ,信息 量 越 多 ,同样 花费 的 时 间 也 越 多 ,如 图 9. 5. 28 所 示 。 

(3) 使 用 Wireshark 的 分 析 工 具 对 数据 包 进 行 过 滤 。Wireshark 可 以 抓 取 接 口 大 量 的 
数据 包 , 为 了 从 中 获取 有 用 的 数据 , Wireshark 提供 了 大 量 的 分 析 工 具 , 如 图 9. 5. 29 所 示 。 
选择 分析 ”一 “专家 信息 ”命令 即 可 查看 到 如 图 9. 5. 30 所 示 的 专家 信息 。 

(4) 利用 统计 功能 建立 统计 数据 和 图 表 。Wireshark 的 特色 就 是 可 以 从 抓 取 的 数据 包 
中 获取 到 用 户 想 要 的 数据 并 提供 各 种 直观 的 统计 信息 :如 图 9. 5. 31 所 示 。 在 “统计 ”菜单 中 
分 别 选择 “I/O 图 表 ” 和 “流量 图 ”命令 , 即 可 查看 到 I/O 图 表 统 计 和 网 络 流量 统计 , 如 
图 9. 5. 32 和 图 9. 5. 33 所 示 。 
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Time Source 
1 8.8900990 19.19.18.7 
2 9.003720 116.228. 
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15 80-50201 [RST] Seq=2 Win=0 Len=0 
21 50186-*80 [RST, ACK] Seq=2 Ack=1 Win=0 Len=0 


6 50186 一 80 [FIN. ACK] Seq=1 Ack=1 Win=16246 ... 
11 50201 一 80 [FIN, ACK] Seq=1 Ack=1 Win=16613 ... 
13 80-*50201 [FIN, ACK] Seq=1 Ack=2 Win=496 Le... 





图 
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19.19.18.7 
2 08.003720 116.228.111.118 





5 0.842654 19.19.18.7 
6 8.844522 19.19.18.7 
7 9.976978 111.292.114.63 
8 9.676979 111.292.114.63 


9 9.977491 111.292.114.63 
19 89.877429 19.19.18.7 
11 9.977526 111.292.114.63 
12 9.677919 111.282.114.63 
13 9.977936 19.19.18.7 








Frame 1: 79 bytes on wire (632 bits), 

Ethernet II，Src: QuantaMi_67:e7:9c (26 
» Internet Protocol Version 4, Src: 19.16 
» User Datagram Protocol, Src Port: 5499€ 
> Domain Name System (query) 





图 9.5.31 Wireshark 的 统计 功能 
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9.5.32 IO 图 表 统计 
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图 9.5.33 网 络 流量 统计 


9.5.6 网 络 攻 击 的 防范 设置 一 一 组 冲 区 滋 出 攻击 实例 


缓冲 区 溢出 是 一 种 在 各 种 操作 系统 、 应 用 软件 中 广泛 存在 且 和 危险 的 漏洞 。 利 用 缓冲 区 
溢出 攻击 可 以 导致 程序 运行 失败 .系统 崩溃 ,利用 它 甚 至 可 以 执行 非 授 权 指 令 , 可 以 取得 系 
统 特权 ,从 而 进行 各 种 非法 操作 。 

1. 缓冲 区 基础 

缓冲 区 存在 于 “ 堆 " 或 者 “ 栈 ”" 中 ,这 取决 于 缓冲 区 的 分 配方 式 。 因 此 .缓冲 区 溢出 分 为 
“ 堆 溢 出 ”和 * 栈 溢出 ”, 这 两 种 溢出 的 利用 方式 是 不 同 的 。 

1) 几 个 重要 的 寄存 器 及 其 作用 

eax 寄存 器 : 通常 用 于 存放 函数 的 返回 值 。 

eip 寄存 器 : 存放 要 执行 的 下 一 条 指令 的 地 址 。 

ebp 寄存 器 : 栈 帧 的 基 址 。 

esp 寄存 器 : 栈 顶 的 地 址 。 

栈 帧 其 实 就 是 栈 中 一 小 片 连续 的 内 存 。 在 程序 的 执行 过 程 中 ,一 个 函数 会 调用 另 一 个 
函数 ,属于 这 个 函数 的 栈 部 分 就 称 为 该 函数 的 栈 帧 ,属于 另 一 个 函数 的 栈 部 分 就 称 为 另 一 个 
函数 的 栈 帧 。 

2) 堆 和 栈 的 分 配 

new 和 malloc 的 变量 都 位 于 堆 中 ,而 局 部 变量 则 位 于 栈 中 。 

一 般 情况 下 都 是 堆 位 于 比 栈 更 低 的 地 址 ,但 在 Windows 中 , 堆 是 位 于 比 栈 更 高 的 地 址 。 
用 VC 写 个 程序 就 可 以 看 到 这 种 现象 , 堆 是 位 于 0x003XXXXX, 而 栈 是 位 于 0x0012XXXX 
或 者 0x0013XXXX。 

栈 是 由 高 地 址 向 低地 址 增长 的 ,而 堆 和 其 他 的 内 存 使 用 都 是 从 低地 址 到 高 地 址 的 。 
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3) 栈 的 环境 演示 
函数 1 调用 函数 2, 函数 2 调用 函数 3,… ,函数 n 一 1 调用 函数 n, 栈 帧 如 图 9. 5. 34 所 
示 。 再 把 栈 “ 放 大 ”一 点 ,以 便 看 得 更 详细 ,如 图 9. 5. 35 所 示 。 


0x00000000( 内 存 低 址 ) 











了 
0x00000000( 内 存 低 址 ) (省 略 ) 函数 的 局 部 变量 
函数 m 的 栈 由 | FBP | 
函数 2 的 栈 由 
ee 
函数 1 的 栈 帧 
0xFFFFFFFF( 内 存 高 址 ) (省 略 ) 0xFFFFFFFF( 内 存 高 址 ) 
图 9.5.34 栈 帧 图 (1) 图 9.5.35 栈 帧 图 (2) 


调用 一 个 函数 时 ,会 把 该 函数 的 参数 从 右 到 左 依次 压 人 栈 中 ,因此 ,首先 压 人 栈 的 是 最 
后 一 个 参数 ,最 后 压 和 人 栈 的 是 第 一 个 参数 。 

从 ebp 往 下 ( 往 高 地 址 ) 包 括 ebp 都 是 调用 函数 的 栈 帧 ,从 ebp 往 上 ( 往 低地 址 ) 不 包括 
ebp ,是 被 调用 函数 的 栈 帧 。 

4) call 和 ret 的 原理 

call 和 ret 这 两 条 指令 是 很 重要 的 ,必须 要 清楚 CPU 执行 这 两 条 指令 时 的 工作 过 程 。 

调用 一 个 函数 时 ,在 压 完 这 个 函数 的 所 有 参数 后 ,就 开始 执行 call 指令 。call 指令 做 的 
事情 是 ,首先 CPU 会 把 下 一 条 指令 的 地 址 压 入 栈 中 ,以 便 该 函数 执行 完成 后 知道 回 到 哪里 
继续 执行 ,这 就 是 著名 的 “返回 地 址 ”。 如 





00421E23 :1 push ecx 
00421E24 . ES FSF3FDFF | éall 00401221 

00421E29 . 83C4 0C add esp,0C 

00421E2C . 8945 FE4 mov dword ptr [ebp - 1C] ,eax 
00421E2F . 8B55 E4 mov edx. dword ptr [ebp— 1C] 

















这 里 要 执行 0x00401221 函数 ,CPU 会 把 返回 地 址 (0x00421E29) 压 入 栈 中 ,然后 就 跳 到 
0x00401221 处 执行 。 栈 顶 也 就 由 


0012FF88 00000001 
0012FF8C 003B1028 
0012FF90 003B10B0 
0012FF94 7C930738 ntdll. 7C930738 























0012FF84 00421E29 返回 到 seh. < 模块 人 口 点 >+ 0E9 来 自 she.00401221 
0012FF88 00000001 
0012FF8C “| 003B1028 
0012FF90 003B10B0 
0012FF94 7C930738 | ntdl11.7C930738 

















在 执行 完 函 数 后 ,会 执行 ret 指令 ,如 : 























004015DA . 8BE5 mov esp,ebp 
004015DC .5D pop ebp 
004015DD ec3 retn 
004015DE 。 CC int3 
ret 指令 会 把 栈 顶 的 “返回 地 址 ? 弹 回 eip 中 ,然后 执行 “返回 地 址 ”处 的 指令 ,在 本 例 中 ， 


就 是 执行 0x00421E29 处 的 “add esp,0c” 指 令 。 
2. 缓冲 区 溢出 实例 说 明 
我 们 看 一 下 如 下 小 程序 : 


/* the overflow of the stackx / 
void Func(char x str) 
{ 
char buffer[4]; 
strcpy(buffer, str); 
} 
int main( int argc, char * argv[]) 
{ 
int i; char largestr[128]; 
for(i=0; i<128; i++) 
largestr[i] = 'A'; 
func( largestr); 
return 0; 


} 


该 程序 就 会 产生 缓冲 区 溢出 。 很 明显 buffer 只 有 4 个 字 节 , 却 用 128 个 字 节 来 填充 它 ， 
于 是 溢出 就 发 生 了 。 

缓冲 区 溢出 破坏 了 程序 的 堆栈 ,使 程序 出 现 特殊 的 问题 转 而 执行 其 他 指令 。 一 般 的 溢 
出 只 是 让 程序 运行 失败 。 但 如 果 黑 客 们 精心 设计 溢出 字符 串 , 则 可 以 达到 攻击 的 目的 。 最 
常见 的 手段 是 通过 制造 缓冲 区 溢出 使 程序 运行 一 个 用 户 shell ,再 通过 shell 执行 其 他 命令 。 
如 果 该 程序 属于 root 且 有 SUID 权限 ,攻击 者 就 会 获得 一 个 有 root 权限 的 shell, 继 而 就 可 
以 对 系统 进行 任意 操作 了 。 

1) Windows 下 的 例子 

在 执行 溢出 的 机 器 上 开 DOS(shelD) ,只 要 很 简单 的 如 下 一 段 程 序 : 


/* running in windows open command.comx / 
#include < windows.h> 
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#include < winbase.h> 
typedef void ( * MYPROC) (LPTSTR) ; 
int main( ) 
{ 
HINSTANCE LibHandle; 
MYPROC ProcAdd; 
LibHandle = (MYPROC) GetProcAddress(LibHandle, "System");  // 查 找 system 函数 地 址 
(ProcAdd) ("command. com");  // 相 当 于 执行 system("command. com") 
return 0; 


} 
2) Linux 下 的 例子 


A 
/x opena shell -- for linux * / 

#include< stdio.h> 

void main() 

{ 


char * name[2]; 


name[0] = "/bin/sh"; // 开 个 bash 
name[1] = NULL; 
execve(name[ 0], name, NULL); // 调 用 程序 


} 

只 要 到 这 里 就 可 获得 一 个 shell, 再 通过 shell 执行 其 他 命令 ,黑客 就 拥有 了 一 台 可 以 掌 
控 的 机 器 。 

缓冲 区 溢出 攻击 之 所 以 成 为 一 种 常见 的 安全 攻击 手段 其 原因 在 于 缓冲 区 溢出 漏洞 普遍 
存在 且 易 于 实现 。 缓 冲 区 溢出 漏洞 为 攻击 者 希望 得 到 的 一 切 提供 了 植 和 人 并 执行 攻击 代码 的 
便利 ,因此 缓冲 区 溢出 已 成 为 远程 攻击 的 主要 手段 。 被 植 人 的 攻击 代码 以 一 定 的 权限 运行 
有 缓冲 区 溢出 漏洞 的 程序 ,从 而 得 到 被 攻击 主机 的 控制 权 。 

3. 缓冲 区 攻击 步 又 

对 root 程序 进行 试探 性 攻击 ,然后 执行 类 似 exec(sh) 的 执行 代码 来 获得 具有 root 权限 
的 shell。 

该 攻击 分 为 代码 安排 (在 程序 的 地 址 空间 里 安排 适当 的 代码 ) 和 控制 程序 执行 流程 ( 通 
过 适当 初始 化 寄存 器 和 内 存 使 程序 跳 到 安排 的 地 址 空间 执行 预先 设 定好 的 程序 ) 两 个 步骤 。 

1) 在 程序 的 地 址 空间 安排 适当 的 代码 

在 程序 的 地 址 空间 安排 适当 的 代码 有 以 下 两 种 方法 。 

(1) 植 和 法。 攻击 者 向 被 攻击 的 程序 输入 一 个 字符 串 ,程序 会 把 这 个 字符 串 放 到 缓冲 
区 里 。 这 个 字符 串 包 含 的 资料 是 可 以 在 这 个 被 攻击 的 硬件 平台 上 运行 的 指令 序列 。 在 这 
里 ,攻击 者 用 被 攻击 程序 的 缓冲 区 来 存放 攻击 代码 。 

(2) 利用 已 经 存在 的 代码 。 该 方法 的 前 提 是 攻击 者 想 要 的 代码 已 经 在 被 攻击 的 程序 
中 。 攻 击 者 所 要 做 的 只 是 对 代码 传递 一 些 参 数 。 如 攻击 代码 要 求 执行 exec (“/bin/sh”)， 
而 在 libc 库 中 的 代码 执行 exec (arg) ,其 中 arg 是 指向 一 个 字符 串 的 指针 参数 ,那么 攻击 者 
只 要 把 传人 的 参数 指针 改 为 指向 /bin/sh 即 可 。 

2) 控制 程序 转移 到 攻击 代码 

该 方法 可 通过 溢出 一 个 没有 边界 检查 的 缓冲 区 ,扰乱 程序 的 正常 执行 顺序 。 通 过 溢出 


缓冲 区 ,攻击 者 可 以 用 暴力 的 方法 改写 相 邻 的 程序 空间 而 直接 跳 过 系统 的 检查 。 

使 用 暴力 方法 寻求 改变 程序 指针 有 如 下 三 种 方法 。 

(1) 堆栈 溢出 攻击 。 该 方法 强制 改变 函数 结束 时 返回 的 地 址 。 这 样 当 函 数 调用 结束 
时 ,程序 就 跳 转 到 攻击 者 设 定 的 地 址 ,而 不 是 原先 的 地 址 。 此 种 方法 是 最 常用 的 缓冲 区 溢出 
攻击 方式 。 

(2) 函数 指针 。 该 方法 通过 改变 函数 指针 来 定位 任意 地 址 空间 。 如 void( x foo)() 表 
明 一 个 返回 值 为 void 的 函数 指针 变量 foo, 所 以 攻击 者 只 需 在 任意 空间 内 的 函数 指针 附近 
找到 一 个 能 够 溢出 的 缓冲 区 ,然后 溢出 这 个 缓冲 区 来 改变 函数 指针 。 在 某 一 时 刻 , 当 程序 通 
过 函数 指针 调用 函数 时 ,程序 的 流程 就 按 攻击 者 的 意图 实现 了 。 

(3) 长 跳 转 缓冲 区 。 该 方法 有 点 类 似 函 数 指针 ,setimp/longjmp 也 是 跳 转 。 


9.5.7 VPN 配置 实例 


本 节 主 要 介绍 在 Windows 7 环境 下 虚拟 专用 网 的 构建 及 实现 VPN 服务 器 端 和 客户 机 
端的 简单 配置 过 程 。VPN 连接 可 以 通过 Internet 提供 远程 访问 和 到 专用 网 络 的 路 由 选择 
连接 。 通 过 建立 的 VPN 连接 ,使 用 自动 安装 在 计算 机 上 的 点 对 点 隧道 协议 PPTP 或 第 二 
层 隧道 协议 L2TP ,就 可 以 经 由 Internet 或 其 他 网 络 连接 到 Windows 7 下 的 远程 访问 服务 
器 ( 即 VPN 服务 器 ) 来 安全 地 访问 网 络 资源 。 

如 图 9. 5. 36 所 示 为 用 户 直接 连接 到 Internet 并 建立 VPN 连接 的 示意 图 。 在 图 中 可 见 
用 户主 机 (客户 机 ) 直接 连接 到 Internet, 并 通过 Internet 连接 到 远程 访问 服务 器 上 。 
Windows 7 系统 下 的 VPN 服务 器 也 称 作 远程 访问 服务 器 。VPN 服务 器 必须 具有 一 个 公有 
IP 地 址 ,以 便 使 Internet 上 的 主机 访问 VPN 服务 器 或 使 VPN 客户 机 通过 Internet 访问 
VPN 服务 器 。VPN 服务 器 一 般 有 具有 双 网 卡 , 分 别 连 接 到 Internet 和 内 部 局 域 网 络 。 













前 基 


用 网 络 。VYPN 服 务 器 内 部 LAN 


图 9.5.36 用 户 直接 连接 到 Internet 并 建立 VPN 连接 


1，Windows 7 系统 VPN 服务 端 配置 

现在 以 Windows 7 系统 为 例 建立 VPN 服务 器 。 配 置 过 程 如 下 。 

第 1 步 : 打开 ”控制 面板 ”, 单 击 * 网 络 和 共享 中 心 ? 图 标 , 出 现 如 图 9. 5. 37 所 示 的 页 面 ， 
再 选择 “更 改 适 配器 设置 ?选项 ; 

第 2 步 : 在 菜单 栏 中 选择 “文件 ”一 “新 建 传 人 连接 ”命令 ,在 出 现 如 图 9. 5. 38 所 示 的 页 
面 中 选择 “允许 连接 这 台 计 算 机 ”的 用 户 。 如 果 用 户 还 未 创建 ,请 单 击 “ 添 加 用 户 ” 按 钮 ,在 弹 
出 的 “新 用 户 ” 对 话 框 中 按 要 求 输入 用 户 名 、 密 码 和 确认 密码 , 单 击 “ 确 定 ” 按 钮 ,创建 新 用 户 
(如 ysliu) ; 
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图 9.5. 38 选择 或 设置 允许 连接 的 账户 


第 3 步 : 单 击 * 下 一 步 ? 按 钮 ,在 出 现 的 页 面 中 色 选 “通过 Internet" 复 选 框 (如 果 显示 有 
多 项 ,请 选择 正确 的 方式 ) 。 单 击 “ 下 一 步 ? 按 钮 , 匀 选 “Internet 协议 版 本 4(TCP/IPv4)” 复 
选 框 , 单 击 “ 属 性 ”按钮 ,如 图 9. 5. 39 所 示 ; 

第 4 步 : 在 弹出 的 “传人 的 IP 属性 ”对 话 框 中 .选择 “指定 IP 地 址 ” 单 选 按 钮 ,如 果 你 的 
IP 地 址 是 192. 168. 1 开头 的 , 则 可 尝试 选择 从 192. 168. 1. 180 一 192. 168. 1. 191 共 12 个 地 
址 段 ,设置 后 请 单 击 “ 确 定 ” 按 钮 ,如 图 9. 5. 40 所 示 。 然 后 单 击 图 9. 5. 39 中 的 “允许 访问 ” 
按钮 。 

按照 上 述 设 置 之 后 ,其 他 用 户 就 可 以 用 设置 的 账号 及 你 的 IP 地 址 利用 VPN 连接 到 你 
的 网 络 了 。 


人 


其 他 人 如 何 连 接 此 计算 机 ? 














访问 

ftir 

再 地 址 分 限 

站 用 DNC 自动 分 配 芋 地 址 以 ) 

雳 指定 下 地 址 0) 

从 中) ‘192 .166 ，1 .100 
Ei 

加 允许 5 的 计 其 机 搬 定 自己 的 IT 地 址 0 


CC mm ] 
图 9.5.40 选择 传人 IP 的 地 址 或 地 址 段 


2. Windows 7 系统 VPN 客户 端 配 置 
第 1 步 : 在 控制 面板 中 打开 “网 络 和 共享 中 心 ” 页 面 ,在 其 中 选择 “设置 新 的 连接 或 网 


第 2 步 : 弹出 如 图 9.5.41 所 示 的 “选择 一 个 连接 选项 "页面, 选择 “连接 到 工作 区 ” 选 


项 , 单 击 "下 一 步 "按钮 ; 


第 3 步 : 如 果 此 时 系统 中 已 经 存在 其 他 连接 , 则 在 这 一 步 选 择 “ 否 ,创建 新 连接 " 单 选 按 
钮 (本 例 中 已 存在 2 个 连接 ); 如 果 不 存 在 其 他 连接 , 则 选择 “是 ,选择 现 有 的 连接 ” 单 选 按 


钮 ,如 图 9. 5. 42 所 示 ; 


第 4 步 : 单 击 * 下 一 步 ? 按 钮 ,在 出 现 的 “你 想 如 何 连接 ”页面 ,选择 “使 用 我 的 Internet 
连接 (VPN)” 选 项 ,如 图 9. 5. 43 所 示 ; 

第 5 步 : 在 出 现 的 页 面 中 的 “Internet 地 址 ”文本 框 中 输入 服务 器 的 IP 地 址 (如 211. 
95.78. 2) ,如 图 9. 5. 44 所 示 。 单 击 * 下 一 步 ? 按 钮 :出现 如 图 9. 5. 45 所 示 的 页 面 , 在 其 中 输 
人 已 经 设置 好 的 VPN 连接 的 用 户 名 和 VPN 登录 密码 , 单 击 “ 创 建 "按钮 ; 

第 6 步 : 出 现 如 图 9. 5. 46 所 示 的 页 面 ,显示 连接 已 可 使 用 .说 明 此 次 设置 成 功 ,可 以 正 


常 使 用 了 。 
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图 9. 5.41 选择 连接 到 工作 区 











CEE2m 
图 9.5.42 创建 或 选择 连接 











图 9.5.43 使 用 VPN 链接 








图 9. 5.45 输入 用 户 名 和 密码 





连 粮 已 经 可 以 使 用 





9.5.46 设置 成 功 
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9.6 互联 网 应 用 案例 


本 节 主 要 介绍 电子 邮件 安全 应 用 和 网 上 购物 安全 交易 应 用 这 两 个 互联 网 安全 应 用 
实例 。 


9.6.1 电子 邮件 的 安全 应 用 实例 


针对 电子 邮件 的 安全 问题 ,用 户 可 有 目的 地 增加 邮件 规则 和 进行 系统 安全 方面 的 设置 。 
一 般 不 同 的 邮件 服务 商会 提供 不 同 的 Web 管理 方式 ,通过 Web 进入 自己 的 邮箱 (如 网 易 邮 
箱 .Hotmail 邮箱 、Yahoo 邮箱 等 ) ,可 以 在 邮件 系统 的 帮助 下 进行 邮件 的 安全 设置 。 另 外 ， 
Outlook 和 Foxmail 等 专用 的 邮件 收发 和 管理 工具 对 电子 邮件 的 安全 也 有 更 具 优势 的 
地 方 。 

1. Web 邮箱 的 安全 配置 

Web 邮箱 有 很 多 种 ,用户 可 根据 个 人 习惯 选择 合适 的 邮箱 。 下 面 以 网 易 的 163 邮箱 为 
例 , 介 绍 Web 邮箱 的 安全 配置 。 

1) 防 密码 嗅 探 

网 易 163 邮箱 在 登录 时 采用 了 SSL 加 密 技 术 , 它 对 用 户 提交 的 所 有 数据 先进 行 加 密 ， 
然后 再 提交 到 网 易 邮 箱 , 从 而 可 以 有 效 地 防止 黑客 盗 取 用 户 名 、 密 码 和 邮件 内 容 , 保 证 用 户 
邮件 的 安全 。 用 户 在 输入 用 户 名 和 密码 时 ,选择 "SSL 安全 登录 ” 即 可 实现 该 功能 , 如 
图 9. 6.1 所 示 。 当 用 户 单 击 “ 登 录 ” 并 按 Enter 键 后 ,会 发 现 地 址 栏 中 的 http:// 瞬 间 变 成 
https://, 之 后 又 恢复 成 http://, 这 就 是 SSL 加 密 登 录 。 
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图 9.6.1 网 易 163 邮箱 登录 界面 


2) 来 信 分 类 功能 

邮箱 的 来 信 分 类 功能 是 根据 用 户 设 定 的 分 类 规则 ,将 来 信 投 入 到 指定 的 文件 夹 ,或 拒 收 
来 信 。 这 样 不 仅 能 够 防止 垃圾 邮件 ,还 可 以 过 滤 掉 一 些 带 病毒 的 邮件 ,减少 了 病毒 感染 的 
机 会 。 


登录 网 易 邮 箱 ,选择 "设置 ”常规 设置 "命令 ,进入 "常规 设置 页面, 如 图 9.6. 2 所 示 。 
选择 “来 信 分 类 "选项 ,在 右 侧 窗口 中 单 击 “ 新 建 来 信 分 类 "按钮 .在 打开 的 “ 收 到 邮件 时 ”界面 
中 设置 分 类 规则 。 在 这 里 用 户 可 根据 发 件 人 地 址 、 收 件 人 地 址 、 邮 件 主题 设置 规则 条 件 , 对 
满足 条 件 的 邮件 可 拒 收 或 转发 到 指定 用 户 、 指 定 文件 夹 ,或 使 用 自动 回复 功能 。 例 如 ,创建 
把 从 sjtu. edu. cn 邮箱 发 来 的 信件 存放 在 “工作 组 ”文件 夹 内 的 规则 ,如 图 9. 6. 3 所 示 。 首 先 
设置 发 件 人 地 址 "@sjtu. edu. cn”, 再 将 新 建文 件 夹 命名 为 “工作 组 ”选择 将 符合 条 件 的 邮 
件 移动 至 “工作 组 ”, 选 中 适用 账号 (自己 的 邮箱 ), 单 击 “ 保 存 ” 按 钮 , 即 可 完成 设置 。 


分 本 轨 直 邮件 区 下 和 正文 


权 / 发 件 人 五 稳 旺 示 册 





图 9.6.2 邮箱 设置 界面 


| 发 伯 人 包 全 v | | @sjtuedu.cn 


收 件 人 包含 ~| 





击 避 恰 


9.6.3 创建 新 规则 界面 
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3) 反 垃 圾 邮件 处 理 

默认 情况 下 网 易 邮箱 具有 反 垃 圾 邮件 的 功能 ,在 “常规 设置 "中 选择 “ 反 垃圾 /黑白 名 单 ” 
选项 ,打开 “ 反 垃圾 /黑白 名 单 ” 界 面 ,在 其 中 设置 反 垃 圾 规则 ,如 图 9. 6.4 所 示 。 用 户 在 设置 
反 垃 圾 邮件 的 级 别 时 ,建议 使 用 系统 提供 的 默认 级 别 。 如 果 用 户 只 想 接收 已 知 地 址 的 邮件 ， 
那么 可 将 反 垃圾 邮件 级 别 设置 为 “高 级 ”。 


炭 认 ( 维 荐 )( 朵 局 邮件 到 垃 仆 系 婉 关 话 针 理 垃 令吉 怕 ) 
加 中 服 (发 件 人 "不 在 | 甬 球 录 ] 或 | 扬名 单 ] , 是 “ 履 件 人 ”和 “ 抄 送 人 ”不 包 会 乱 的 闻 档 地址 , 则 判 为 垃 换 邮件 
高 级 ( 畜 慎 ) ("发 件 人 不 在 | 亚 污 录 ] 或 者 | 所 名单) 中 ,就 贸 认 为 星 过 从 闻 件 





垃圾 邮件 处 理 | 按 收 到 “过 灿 邮 件 ” 文 煌 去 ， 走 央 各 动手 除 ”( 淮 革 ) ~ 





| is 上 | 


MM 对 过 级 部 件 每 能 分 类 , 移 到 “迷航 邮件 ”文件 去 [部件 下 玫 3 天 以 上 会 被 局 诺 划 除 ) 
Mj 对 广告 部 件 智 能 分 类 , 移 到 “广告 邮件 ”文件 夫 [部件 存 改 7 
对 订 辣 部 件 智 衣 分 类 , 移 到 “订阅 邮件 ”文件 去 (部件 存 破 30; 上 

小 提示 : 取 击 为 去 后 ， 系统 识别 出 幸 的 垃 航 ， 广 告 、 林 阅 邮件 ， 村 重新 没 进 到 收 件 柚 。 


垃 巩 部件 文件 夫 | 3 天 富 动 吕 险 ~ | 
广告 名 件 文件 夫 。 | 7 天 生动 币 除 ~ 


图 9.6.4 设置 反 垃 圾 规则 





由 于 邮箱 的 反 垃 圾 邮件 功能 并 不 能 做 到 百分之百 的 准确 ,有 些 有 用 的 邮件 可 能 会 被 误 
认为 是 垃圾 邮件 ,因此 ,建议 将 收 到 的 “垃圾 邮件 ?在 文件 夹 中 保存 几 天 。 

4) 黑 名 单 和 白 名 单 

黑 名 单 存放 的 是 那些 用 户 认为 不 可 信 的 邮件 地 址 ,并 且 不 打算 接受 由 这 些 地址 发 出 的 
邮件 ; 白 名单 恰 好 相反 , 它 存 放 的 都 是 可 信 的 邮件 地 址 ,由 这 些 地 址 发 来 的 邮件 ,都 是 正常 
的 邮件 。 用 户 通过 在 “ 反 垃圾 /黑白 名 单 "界面 中 设置 黑 名 单 和 白 名 单 ,就 可 将 不 可 信 的 邮件 
地 址 放 在 黑 名 单列 表 中 ,将 可 信 的 邮件 地 址 放 在 白 名 单列 表 中 。 

2. 浏览 器 的 安全 设置 

浏览 器 的 种 类 很 多 ,这 里 以 I 浏览 器 为 例 。 进 入 正 浏览 器 ,选择 “工具 ”>“Internet 
属性 ”命令 ,在 弹出 的 对 话 框 中 选择 “安全 ”选项 卡 , 在 其 中 可 以 对 四 种 不 同 区 域 (Internet、 本 
地 Intranet、 受 信任 的 站 点 和 受 限制 的 站 点 ) 分 别 进行 安全 设置 ,如 图 9. 6. 5 所 示 。 选 择 
Internet 区 域 后 单 击 “ 自 定义 级 别 ” 按 钮 ,弹出 如 图 9. 6. 6 所 示 的 对 话 框 ,用 户 可 按照 自己 的 
安全 需要 选择 相关 组 件 并 设 定安 全 级 别 。 同 样 ,在 “本 地 Intranet”“ 受 信任 的 站 点 "和 “ 受 限 
制 的 站 点 ”区 域 也 可 作 相 应 的 安全 设置 。 

在 “Internet 属性 ”对 话 框 中 “隐私 ”选项 卡 中 进行 站 点 的 隐私 操作 和 高 级 设置 ,可 以 适 
当地 保护 用 户 自己 的 隐私 。 在 内容” 选项 卡 中 可 对 家 庭 安全 进行 设置 ,还 可 对 服务 器 、 客 户 
端 和 个 人 身份 验证 证 书 进行 导入 .导出 以 及 对 证 书 的 颁发 机 构 进行 设置 和 选择 等 操作 。 
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图 9.6.5 浏览 器 Internet 选项 图 9.6.6 Internet 自 定义 安全 设置 


3. 邮件 规则 的 设置 

这 里 以 微软 的 Outlook 2007 为 例 介 绍 邮 件 规则 的 安全 设置 ( 先 使 用 Outlook 2007 启动 
向 导 完 成 Microsoft Office Outlook 2007 的 配置 ) 。 打 开 Outlook 2007, 选 择 “ 工 具 ” 一 “规则 
和 通知 ”命令 ,在 弹出 的 对 话 框 中 单 击 “ 电 子 邮 件 规则 ”选项 卡 下 的 “新 建 规则 ”按钮 ,弹出 规 
则 向 导 ” 对 话 框 ,如 图 9.6.7 所 示 。 可 在 “选择 模板 ”选项 组 中 根据 需要 进行 选择 。 选 择 每 项 
后 在 下 面 的 “编辑 规则 说 明 ” 区 域 中 就 会 出 现 相应 规则 的 描述 说 明 。 
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图 9.6.7 新 规则 设置 


在 “电子 邮件 规则 ”选项 卡 下 的 “更 改 规则 ”下 拉 列 表 中 有 “编辑 规则 设置 “ 重 命名 规则 ” 
“复制 到 文件 夹 " 等 选项 。 如 要 进行 “编辑 规则 设置 ”选择 该 选项 后 会 弹出 “规则 向 导 ” 对 话 
框 , 在 “选择 条 件 ” 选 项 组 中 可 选择 多 项 要 设 定 的 条 件 , 如 图 9.6.8 所 示 。 
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图 9. 6.8 更 改 规则 设置 
4. 选择 邮件 格式 


HTML 格式 的 文档 可 能 含有 在 未 得 到 用 户 许可 情况 下 就 能 够 执行 某 些 操作 的 因素 。 
在 用 户 单 击 该 文档 时 , 它 就 可 能 将 用 户 带 到 一 个 陌生 的 网 站 。 虽 然 多 数 客户 端 软件 可 以 起 
到 保护 作用 ,但 用 户 最 好 禁用 HTML 格式 ,而 采用 纯 文本 格式 。 

Outlook 2007 下 使 用 纯 文本 的 方法 : 打开 Outlook 2007, 选 择 " 工 具 ” 一 “选项 ”命令 ， 
在 弹出 的 “规则 向 导 ” 对 话 框 中 选择 “邮件 格式 ”选项 卡 ,在 "邮件 格式 ”选项 组 中 的 下 拉 列 表 
中 选择 “ 纯 文 本 "选项 ,并 单 击 “ 确 定 ” 按 钮 即 可 ,如 图 9. 6.9 所 示 。 








邮件 格式 
选择 竺 发 邮件 的 格式 ， 并 于 改 训 加 设置 。 
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图 9. 6.9 选择 邮件 格式 /签名 
5. 使 用 多 层 防御 


就 像 对 付 恶 意 软 件 一 样 ,要 保护 邮件 系统 的 安全 ,需要 采用 多 种 防御 措施 ,使 这 些 措 施 
能 有 效 地 对 付 网 络 威胁 。 


(1) 客户 端的 安全 设置 。 事 实 上 ,所 有 主要 的 邮件 客户 端 都 提供 安全 设置 特性 、 防 病 
毒 、 防 钓鱼 ,垃圾 邮件 处 理 等 功能 ,用 户 可 通过 这 些 功能 阻止 相关 的 威胁 。 在 Outlook 2007 
中 ,对 于 垃圾 邮件 的 处 理 操作 为 : 选择 “工具 ”一 “选项 ”命令 ,弹出 “选项 ”对 话 框 在 “首选 参 
数 ” 选 项 卡 中 单 击 “ 电 子 邮 件 ” 选 项 组 中 的 “垃圾 电子 邮件 ”按钮 , 按 要 求 可 分 别 对 垃圾 邮件 的 
保护 级 别 、 安 全 发 件 人 、 安 全 收 件 人 和 阻止 发 件 人 等 项 进行 设置 ,如 图 9. 6. 10 所 示 。 


本 EF = SS 一 | 
已 























和 o* 梧 人 于是 过 可 伯伯 入 动 和 中 的 “过 地 邮 件 ” 文 
拉 可 时 件 保护 深 别 
口 开 由 将 半 来 自 胃 上 长 件 人 89 村 件 1 特 说“ 过 4 册 


图 低 ， 将 最 明显 的 垃 专 邮 件 移动 到 “垃圾 邮件 ”文件 卖 CJ* 
Ti 









上 日历 
es esxamewa。 
| 





联系 人 和 仇 和 小 一 
回 更 纱 联 系 人 、 日 记 和 使 六 和 各 认 设置 。 
联系 人 霹 夺 0). .| | 日 e 霹 岳 0). | 人 Mkt 


Dp 更 次 用 于 窜 引 和 栅 索 的 设置 


四 人 两 不 是 稳 其 移动 到 “ 垃 规则 件 ” 











园林 用 同 络 伤害 地 件 中 的 树 接 和 其 他 功 刁 D) 。 (推荐 ) 
园 对 电子 邮件 地 址 中 的 可 经 城 名 发 出 要 告 mm) 。 (推荐 ) 


加 入 央 和 








手机 信息 
更 约 手 机 信息 转发 和 手机 信息 发 送 设置 。 
| 境遇 辆 发 0) 














ED LR] 
图 9.6.10 垃圾 邮件 处 理 


(2) 使 用 防火 墙 。 许 多 企业 级 防火 墙 不 但 可 以 阻止 网 络 攻 击 ,还 可 以 通过 过 滤 附 件 中 
的 恶意 代码 来 保障 邮件 系统 的 安全 性 。 当 然 这 需要 预先 在 防火 墙 中 设置 相关 的 规则 。 

(3) 邮件 加 密 和 签名 。 保 护 电子 邮件 的 安全 不 但 要 防止 恶意 邮件 到 达 用 户 邮 箱 , 还 要 
保证 发 出 邮件 的 安全 和 保密 。 采 用 数字 签名 措施 ,可 明确 该 邮件 的 发 送 人 ,可 使 邮件 接收 人 
鉴别 发 送 人 的 合法 性 ,也 可 使 发 送 人 对 所 发 邮件 的 事实 不 可 和 否认。 在 Outlook 2007 中 , 选 
择 " 工 具 ”-~“ 选 项 "命令 ,弹出 “选项 "对话 框 ,在 “邮件 格式 "选项 卡 中 单 击 “ 签 名 ”按钮 ( 见 
图 9. 6.9) ,在 弹出 的 对 话 框 中 即 可 进行 电子 邮件 的 签名 操作 。 

在 Outlook 2007 中 还 可 进行 邮件 更 改 账 户 和 目录 设置 .邮件 和 文档 的 发 收 设置 .更 改 
存储 邮件 和 文档 的 文件 设置 更改 邮件 的 编辑 设置 .检查 拼写 和 自动 更 正 、 将 旧 有 项 目 自动 
删除 或 存档 、 邮 件 日 期 时 间 及 外 观 设置 等 操作 。 


9.6.2 网 上 购物 安全 交易 过 程 


1. 电子 商务 安全 协议 

1) SSL 协议 

SSL 协议 是 基于 Web 应 用 的 安全 协议 , 它 包括 服务 器 认证 、 客 户 认证 ,SSL 链 路 上 的 数 
据 完整 性 和 SSL 链 路 上 的 数据 保密 性 ,参见 5. 4. 3 节 。SSL 协议 也 是 国际 上 最 早 应 用 于 电 
子 商 务 的 一 种 网 络 安全 协议 ,至 今 仍 被 许多 网 上 商店 所 使 用 。 对 于 电子 商务 应 用 来 说 ,使 用 
SSL 协议 可 保证 信息 的 真实 性 完整 性 和 保密 性 。 但 由 于 SSL 协议 不 对 应 用 层 的 消息 进行 
数字 签名 ,因此 不 能 提供 交易 的 不 可 否认 性 .这 是 SSL 协议 在 电子 商务 中 使 用 的 最 大 不 足 。 
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有 鉴于 此 ,Netscape 公司 在 从 Communicator 4.04 版 开始 的 所 有 浏览 器 中 引入 了 一 种 被 称 
作 “ 表 单 签名 (Form Signing) ”的 功能 ,在 电子 商务 中 ,可 利用 这 一 功能 对 包含 购买 者 的 订购 
信息 和 付款 指令 的 表单 进行 数字 签名 ,从 而 保证 交易 信息 的 不 可 否认 性 。 因 此 ,在 电子 商务 
中 采用 单一 的 SSL 协议 来 保证 交易 的 安全 是 不 够 的 ,但 采用 “SSL 十 表单 签名 ”模式 能 够 为 
电子 商务 提供 较 好 的 安全 性 保证 。 

在 电子 商务 交易 过 程 中 ,由 于 有 银行 参与 ,按照 SSL 协议 ,客户 的 购买 信息 首先 发 往 商 
家 ,商家 再 将 信息 转发 给 银行 ,银行 验证 客户 信息 的 合法 性 后 ,通知 商家 付款 成 功 ,商家 再 通 
知客 户 购买 成 功 , 并 将 商品 寄 送 给 客户 。 在 传统 的 邮购 活动 中 ,客户 首先 寻找 商品 信息 , 然 
后 汇款 给 商家 ,商家 将 商品 寄 给 客户 。 这 里 ,商家 是 可 以 信赖 的 ,所 以 客户 先 付款 给 商家 。 
在 电子 商务 的 开始 阶段 ,商家 也 是 担心 客户 购买 后 不 付款 ,或 使 用 过 期 的 信用 卡 ,因而 希望 
银行 给 予 认 证 。SSL 安全 协议 正 是 在 这 种 背景 下 产生 的 。 

SSL 协议 运行 的 基点 是 商家 对 客户 信息 保密 的 承诺 。 但 在 上 述 流程 中 可 以 看 出 ,SSL 
协议 有 利于 商家 而 不 利于 客户 。 客 户 的 信息 首先 传 到 商家 ,商家 阅读 后 再 传 至 银行 ,这 样 ， 
客户 资料 的 安全 性 便 受 到 威胁 。 商 家 认证 客户 是 必要 的 ,但 整个 过 程 中 ,缺少 了 客户 对 商家 
的 认证 。 在 电子 商务 的 开始 阶段 ,由 于 参与 电子 商务 的 公司 大 都 是 一 些 信誉 较 高 的 大 公司 ， 
因此 这 个 问题 没有 引起 人 们 的 注意 。 随 着 参与 电子 商务 的 厂商 数量 迅速 增加 ,对 厂商 的 认 
证 问题 越 来 越 突 出 ,SSL 协议 的 缺点 就 完全 暴露 出 来 了 。 于 是 SSL 协议 逐渐 被 新 的 电子 商 
务 协议 (如 SET 协议 ) 所 取代 。 

2) SET 协议 

SET 协议 是 一 个 为 在 线 交 易 而 设立 的 开放 性 电子 交易 系统 规范 。 该 规范 是 一 种 为 基 
于 信用 卡 而 进行 的 电子 交易 提供 安全 措施 的 规则 , 它 广泛 应 用 于 Internet 的 安全 电子 交易 ， 
能 够 将 普遍 应 用 的 信用 卡 使 用 起 始点 从 目前 的 商家 扩展 到 消费 者 的 家 中 和 消费 者 的 个 人 计 
算 机 中 。 该 规范 是 目前 电子 商务 中 最 重要 的 协议 , 它 的 应 用 会 大 大 促进 电子 商务 的 繁荣 和 
发 展 。SET 协议 提供 了 消费 者 、 商 家 和 银行 之 间 的 认证 ,确保 了 交易 数据 的 安全 性 、 完 整 性 
和 交易 的 不 可 否认 性 ,具有 保证 不 会 将 消费 者 的 银行 卡号 暴露 给 商家 等 优点 ,因此 它 成 为 目 
前 公认 的 信用 卡 / 借 记 卡 网 上 交易 的 国际 安全 标准 。 

SET 协议 主要 用 于 保障 网 上 购物 信息 的 安全 性 , 它 可 达到 以 下 目标 。 

(1) 保证 电子 商务 参与 者 信息 的 相互 隔离 ,客户 的 资料 加 密 或 打包 后 经 过 商家 到 达 银 
行 , 但 是 商家 不 能 看 到 客户 的 账户 和 密码 信息 ; 

(2) 保证 信息 在 Internet 上 的 安全 传输 ,防止 数据 被 第 三 方 窃取 ; 

(3) 解决 多 方 认证 问题 ,不 仅 要 对 消费 者 的 信用 卡 认证 ,而 且 要 对 在 线 商 家 的 信誉 程度 
认证 ,同时 还 有 消费 者 .在线 商家 与 银行 间 的 认证 ; 

(4) 保证 网 上 交易 的 实时 性 ,使 所 有 的 支付 过 程 都 是 在 线 的 ; 

(5) 提供 一 个 开放 式 的 标准 ,规范 协议 和 信息 格式 ,促使 不 同 厂 家 开发 的 软件 具有 兼容 
性 和 互 操作 性 ,并 可 运行 在 不 同 的 硬件 和 操作 系统 平台 上 。 

2. SET 协议 的 应 用 

SET 协议 是 B2C 上 基于 信用 卡 支付 模式 而 设计 的 ,具有 保证 交易 数据 的 机 密 性 和 完整 
性 、 交 易 各 方 身份 的 可 确定 性 和 交易 的 不 可 抵赖 性 等 优点 ,可 保证 开放 网 络 上 使 用 信用 卡 进 
行 在 线 购物 的 安全 ,因此 成 为 目前 公认 的 信用 卡 网 上 交易 的 国际 标准 。 采 用 SET 协议 进行 





网 上 交易 时 ,主要 涉及 消费 者 (客户 ) .发卡 机 构 、 商 家 、 银 行 、 支 付 网 关 和 CA 认证 中 心 六 个 
实体 ,如 图 9. 6. 11 所 示 。 











信息 浏览 、 填写 订 
单 和 支付 信息 处 理 


商品 和 服务 信息 发 布 、 订 单 


协议 转换 和 数据 接 
处 理 、 支 付 管理 、 货 款 结算 


口 安全 及 鉴别 管理 














支付 与 授权 信息 


授权 发 卡 、 付 款 
卡 的 管理 与 确认 上 





图 9.6.11 网 上 购物 的 交易 方 及 其 关联 


。 消费 者 。 消 费 者 通过 Web 浏览 器 或 客户 端 软件 在 网 上 购物 ,使 用 信用 卡 结算 。 
。 发 卡 机 构 。 发 卡 机 构 是 为 消费 者 发 行 信用 卡 的 金融 机 构 , 它 为 消费 者 开设 账户 ,并 
发 放 可 用 于 网 上 支付 的 信用 卡 。 

。 商家。 商家 是 交易 商品 的 提供 者 ,在 Internet 上 提供 在 线 商品 ,接受 消费 者 持 卡 
支付 。 
银行 。 银 行 接受 发 卡 机 构 消费 者 和 商家 的 委托 ,处 理 支付 卡 的 认证 \ 在 线 支付 和 电 
子 转账 。 
支付 网 关 。 支 付 网 关 将 公共 网 络 上 传输 的 数据 转换 为 金融 机 构 的 内 部 数据 ,处 理 商 
家 的 支付 信息 和 持 卡 人 的 支付 指令 ,并 对 商家 和 持 卡 人 进行 身份 验证 。 
CA 认证 中 心 。CA 认证 消费 者 、 商 家 和 银行 身份 ,为 交易 参与 方 颁发 证 书 , 提 供 权 
威 身份 证 明 。 

SET 协议 涉及 的 电子 交易 各 方 证 书 有 消费 者 证 书 、 商 家 证 书 、 支 付 网 关 证 书 、 银 行 证 书 
和 发 卡 机 构 证 书 。 

3. SET 的 交易 过 程 

SET 协议 对 交易 过 程 中 交易 各 方 的 信息 进行 加 密 / 解 密 、 签 名 和 身份 认证 。 一 个 持 有 
信用 卡 的 消费 者 进行 网 上 购物 的 交易 过 程 如 下 。 

(1) 消费 者 在 客户 机 上 浏览 商家 的 网 站 ,查看 和 浏览 在 线 商 品目 录 及 性 能 等 ; 

(2) 消费 者 选择 中 意 的 商品 ( 放 入 购物 车 ); 

(3) 消费 者 填写 订单 ,包括 项 目 列表 ,单价 数量、 金额 \ 运 费 等 ; 

(4) 消费 者 选择 付款 方式 ,如 网 上 支付 。 此 时 开始 启动 SET 协议 ; 

(5) 消费 者 通过 网 络 发 送 给 商家 一 个 完整 的 订单 和 要 求 付 款 的 请 求 ; 

(6) 商家 接 到 订单 后 ,通过 支付 网 关 向 消费 者 信用 卡 的 开户 银行 请 求 支付 ; 在 银行 和 
发 卡 机 构 检 验 确认 和 批准 交易 后 ,支付 网 关 向 商家 返回 确认 信息 ; 

(7) 商家 通过 网 络 向 消费 者 发 送 订 单 确认 信息 ; 

(8) 商家 请 求 银行 将 钱 从 消费 者 的 信用 卡 账号 中 划拨 到 商家 账号 ; 

(9) 商家 为 消费 者 配送 货物 ,完成 订购 服务 。 
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至 此 ,一 次 网 上 购物 过 程 结 束 。 可 以 说 该 过 程 是 简单 且 完 整 的。 说 该 过 程 简单 ,是 指 人 
们 日 常 进行 的 网 上 购物 流程 可 包括 如 图 9. 6. 12 所 示 的 五 个 过 程 ; 说 该 过 程 完整 ,是 指 每 次 
网 上 购物 涉及 的 这 五 个 过 程 中 的 每 个 过 程 都 包含 一 些 具体 操作 ,甚至 是 很 复杂 的 操作 ,如 网 
上 支付 过 程 就 涉及 上 述 流程 中 的 步骤 (4) 一 (8)。SET 协议 在 完成 一 次 交易 的 过 程 中 要 涉 
及 很 复杂 的 网 络 安全 管理 和 安全 支付 问题 ,如 持 卡 人 的 数字 签名 .CA 认证 、 信 息 流 的 加 密 
和 鉴别 .数字 证 书 等 。 它 与 网 上 购物 所 涉及 的 六 个 实体 均 有 联系 。 


客户 选 购 填写 网 上 商家 
"器 


图 9.6.12 简单 的 网 上 购物 流 











由 此 可 见 ,电子 商务 活动 需要 有 一 个 安全 的 环境 基础 ,以 保证 数据 在 网 络 中 存储 和 传输 
的 保密 性 和 完整 性 ,实现 交易 各 方 的 身份 验证 ,防止 交易 中 抵赖 行为 的 发 生 。 电 子 商 务 的 安 
全 基础 是 建立 在 安全 的 网 络 基础 之 上 的 ,这 包括 CA 安全 认证 体系 和 基本 的 安全 技术 。 利 
用 安全 的 网 络 技术 来 提供 各 种 安全 服务 ,保障 电子 商务 活动 安全 顺利 地 进行 。 因 此 ,电子 
商务 应 用 涉及 包括 计算 机 网 络 、 信 息 安 全 、 电 子 支付 和 网 络 营销 等 在 内 的 各 种 技术 ,如 数据 
加 密 、 身 份 鉴别 .病毒 防治 、 网 络 数 据 库 安全 ,访问 控制 .认证 技术 、 网 络 实体 安全 、 入 侵 检测 、 
网 络 监 听 、 应 急 处 理 等 。 


9.7 无 线 网 络 路 由 器 的 安全 设置 


随 着 IEEE 802. 11n 草案 (2009 年 得 到 IEEE 的 正式 批准 ) 的 推出 ,无 线路 由 的 传输 速 
度 也 有 了 质 的 飞跃 。 但 人 们 不 应 只 关注 传输 速度 而 忽视 无 线 网 络 的 安全 。 据 调查 ,有 90% 
的 无 线 网 络 和 人 侵 是 因为 无 线路 由 器 或 无 线 AP(Access Point ,访问 点 ) 没 有 进行 相应 的 安全 
设置 而 引发 的 。 通 过 相应 的 安全 设置 可 以 保证 无 线 网 络 的 安全 。 

TL-WR885N 是 一 款 无 线 传输 速率 最 高 可 达 450Mbys 的 无 线路 由 器 。 相 比 上 一 代 产 
品 ,TL-WR885N 的 传输 更 高 效 ,数据 更 流畅 ,可 接 和 人 的 无 线 终端 更 多 ,更 适用 于 高 带宽 人 户 
家 庭 的 高 清 视频 点 播 、 家 庭 内 部 数据 高 速 传输 共享 等 应 用 ,以 及 手机 、Pad、 机 顶 盒 、 笔 记 本 
电脑 等 无 线 终端 较 多 的 家 庭 使 用 。 

TL-WR885N 采用 了 Cyclic shift diversity、Tx Beamforming、STBC 三 项 先进 的 无 线 信 
号 处 理 技术 ,在 信和 号 完整 性 和 履 盖 能 力 上 表现 出 众 。Cyclic Delay Diversity 技术 ,将 空间 分 
集 转 换 为 频率 分 集 ,避免 码 间 串 扰 ,从 而 降低 误 码 率 , 有 效 减少 信号 失真 ; STBC 技术 通过 
多 根 天 线 发 送 同 一 数据 的 不 同 副本 ,提高 数据 传输 的 可 靠 性 ; Tx Beamforming 技术 在 多 天 
线 通 信 系统 中 ,通过 精确 调整 每 一 路 上 信号 的 相位 和 幅度 ,使 多 路 信号 在 接收 端 较 好 全 加 ， 
成 为 一 个 加 强 的 单一 信号 ,有 效 提高 信号 质量 。 

1. 路 由 器 的 WAN 基本 配置 

现 以 TP-LINK TL-WR885N 路 由 器 为 例 介绍 无 线路 由 器 的 配置 ,过 程 如 下 。 

第 1 步 : 打开 下 浏览 器 ,在 “地 址 栏 ” 中 输入 192. 168. 1. 1, 按 Enter 键 后 会 显示 路 由 器 
要 求 设置 管理 密码 的 提示 。 

第 2 步 : 输入 密码 后 ,进入 TP-LINK TL-WR885N 路 由 器 管理 主 界面 ,如 图 9.7.1 所 

















示 。 路 由 器 管理 主 界面 的 左 侧 是 一 系列 管理 选项 ,通过 这 些 选 项 ,可 以 对 路 由 器 的 运行 情况 
进行 管理 和 控制 。 


D3 
TP-LINK 30 =|:: :| | 





本 向 导 可 设置 上 网 所 大 的 基本 网 络 参数 ， 请 单 击 “ 下 一 步 ” 维 续 。 若 要 详细 设 
置 供 项 功能 或 参 教 ， 请 点 击 左 全 相关 栏目 。 





图 9.7.1 TL-WR885N 路 由 器 管理 主 界面 


第 3 步 : 第 一 次 进入 路 由 器 管理 界面 ,或 在 路 由 器 管理 主 界面 的 左 侧 单 击 " 设 置 向 导 ” 
选项 ,弹出 “设置 向 导 ” 对 话 框 ,如 图 9.7.2 所 示 。 单 击 “ 下 一 步 ” 按 钮 ,进入 设置 向 导 。 





本 向 导 可 设置 上 网 所 需 的 基本 网 络 参数 ,请 单 击 “ 下 一 步 ” 维 续 。 若 要 详细 设 
置 某 项 功能 或 参数 ， 请 点 击 左 亿 相 关 栏 目 。 








图 9.7.2 “设置 向 导 ” 对 话 框 


第 4 步 : WAN 口 设置 。 在 弹出 的 如 图 9.7.3 所 示 的 “WAN 口 设置 ”对话 框 中 ,用 户 需 
要 根据 实际 情况 选择 适当 的 上 网 方式 ,这 是 极为 重要 的 一 步 。 日 前 宽带 的 接 入 方式 已 经 
电话 线 加 载 的 传统 ADSL 方式 过 渡 到 了 光纤 入 户 的 方式 ,用 户 已 经 不 再 需要 拨号 连接 ,而 
是 直接 从 光路 连接 设备 获取 外 网 IP 地 址 和 DNS 地 址 ,所 以 路 由 器 的 WAN 口 一 般 选 择 动 
态 连接 或 自动 识别 。 

第 5 步 : 路 由 器 的 DHCP 功能 设置 。DHCP 是 路 由 器 的 一 个 特殊 功能 ,使 用 DHCP 可 
以 避免 因 手 工 设置 IP 地 址 和 子 网 掩 码 所 产生 的 错误 ,也 可 避免 把 一 个 IP 地 址 分 配给 多 台 
客户 机 所 造成 的 地 址 冲突 。 使 用 DHCP 不 但 能 大 大 缩短 配置 或 重新 配置 网 络 中 客户 机 所 
花费 的 时 间 ,而 且 通过 对 DHCP 服务 器 的 配置 .还 能 灵活 地 设置 地 址 的 租 期 。 
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匡 到 国友 wots 
数据 外 MT ( 字 节 ) : (默认 是 1500， 如 地 必要 ， 请 恕 修改 ) 




















手动 设置 NS 服务 器 
首 寺 DSS 服务 器 : 
于 用 os 有 务 吕 : (i 
主机 名 : 
口 单 播 方式 其 取 IP 《一 般 情况 下 请 忽 选 择 ) 
鲁 富 | [更 风 | 


图 9.7.3 路 由 器 的 WAN 口 设置 


单 击 路 由 器 管理 主 界 面 左 侧 的 “DHCP 服务 器 ”选项 ,弹出 *DHCP 服务 ”对 话 框 ,如 
图 9.7.4 所 示 。 选 择 “ 启 用 " 单 选 按 钮 ,在 “地址 池 开 始 地 址 ”和 “地 址 池 结 束 地 址 ”文本 框 中 
设置 地 址 为 192. 168. 1.X 和 192.168.1.Y(X 二 Y,X 不 能 是 0 和 1,Y 不 能 是 255) ,在 此 输 
入 确定 X、Y 后 的 IP 地址 后 , 单 击 “ 保 存 ” 按 钮 。 


本 路 由 器 内 建 的 DHCP 服 务 器 能 自动 配置 局 {二 网 中 各 计算 机 89TCP/IP 协 议 。 
DECP 服 务 器 口 不 自用 图 启 用 











地 址 好 开始 地 址 : 。 [192. 168. 1. 100 

地 址 池 结 束 地 址 : 。 |192. 168. 1. 199 

地 址 租 期 : 分 种 《1~2830 分 钟 ， 缺 省 为 120 分 钟 ) 
Fx: [EE (a) 

焉 省 域名 : CC | (5) 

前 ms 和 器: [5 |] (可 千 

用 ns 有: (本寺 

[保存 ] [要 助 ] 





图 9.7.4 DHCP 设置 


在 进行 上 述 设置 后 ,只 要 打开 网 络 中 的 任意 一 台 计 算 机 ,启动 IE 浏览 器 ,就 可 以 上 
网 了 。 

2. 无 线路 由 器 的 配置 

现 以 TP-LINK TL-WR885N 路 由 器 为 例 介绍 WLAN 路 由 器 的 配置 ,过 程 如 下 。 

第 1 步 : 用 网 线 将 计算 机 和 路 由 器 连接 起 来 ,网 线 的 一 端 接 在 路 由 器 的 LAN 口上 , 另 
一 端 接 在 计算 机 的 网 卡 上 。 

第 2 步 : 将 计算 机 网 卡 IP 设 成 192. 168. 1. 3 , 子 网 掩 码 设 成 255. 255. 255. 0, 网 关 为 
192.168.1.1。 在 I 浏览 器 的 地 址 栏 中 输入 192. 168. 1.1, 按 Enter 键 后 进入 管理 员 登 录 界 
面 。 旧 的 TP-LINK 设备 的 用 户 名 和 密码 一 般 都 是 admin, 新 一 代 的 设备 在 第 一 次 设置 时 都 





会 要 求 用 户 设置 管理 员 密 码 , 设 置 密码 后 单 击 “ 确 定 ” 按 钮 ,进入 如 图 9. 7. 5 所 示 的 
TIL-WR885N 路 由 器 管理 主 界面 。 
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图 9.7.5 TL-WR885N 路 由 器 管理 主 界面 


第 3 步 : 由 此 可 容易 地 设置 LAN 口 参数 ,如 图 9.7.6 所 示 。 


本 页 设置 LAN 口 的 基本 网 络 参数 ， 相 功能 会 导致 路 由 器 重新 局 动 。 
MAC 地 址 : E4-D3-32-47-C9-BC 

IT 地 址 : 
子 网 掩 码 : 














[ 识 夺 | [枯黄] 





图 9.7.6 LAN 口 设置 


第 4 步 : 设置 无 线 参 数 。 进 入 TL-WR885N 后 在 “无 线 网 络 基本 设置 "界面 默认 配置 ， 
如 图 9.7.7 所 示 。 

选择 无 线 参 数 ,基本 设置 有 SSID 号 ,信道 .模式 、 开 启 无 线 功能 、 开 启 SSID 广播 等 项 。 
各 参数 的 含义 如 下 。 

SSID 号 : 用 于 识别 无 线 设 备 的 服务 集 标识 符 。 无 线路 由 器 就 是 用 该 参数 来 标识 自己 ， 
以 便 无 线 网 卡 区 分 不 同 的 无 线路 由 器 连接 。 该 参数 是 由 无 线路 由 器 来 决定 而 不 是 由 无 线 网 
卡 决定 的 。 如 无 线 网 卡 周围 有 A 和 B 两 个 无 线路 由 器 ,分 别 用 SSID A 和 SSID B 标识 ,这 
时 候 无 线 网 卡 如 何 连 接 , 则 要 通过 SSID 标识 符 来 分 辨 。 这 里 默认 SSID 就 是 TP-LINK。 

信道 : 用 于 确定 本 网 络 工作 的 频率 段 .选择 范围 为 1 一 13 .默认 为 6。 要 注意 的 是 : 假设 
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图 9.7.7 无 线 网 络 基 本 设置 


相 邻 用 户 也 使 用 无 线 网 络 , 且 同样 使 用 信道 6, 则 为 了 减少 两 个 无 线路 由 器 之 间 的 无 线 干 
扰 , 可 以 考虑 将 这 个 参数 更 改 为 1 或 13。 

模式 : 该 参数 用 来 设置 无 线路 由 器 的 工作 模式 (802. 11gbn 混合 ) ,一 般 选 择 默认 参数 。 

开启 无 线 功 能 : 使 TL-WR885N 的 无 线 功能 打开 和 关闭 。 

开启 SSID 广播 : 默认 情况 下 无 线路 由 器 通过 向 周围 空间 广播 SSID 来 通告 自己 的 存 
在 ,这 种 情况 下 无 线 网 卡 都 可 以 搜索 到 该 无 线路 由 器 的 存在 。 如 果 取 消 勾 选 该 复 选 框 ,也 就 
是 无 线路 由 器 不 进行 SSID 的 广播 ,此 时 无 线 网 卡 就 无 法 搜索 到 无 线路 由 器 的 存在 了 。 

在 确定 以 上 默认 设置 后 ,给 TL-WR885N 加 电 时 ,就 会 在 TL-WR885N 周围 生成 一 个 
无 线 网 络 , 这 个 网 络 的 SSID 标识 符 就 是 TP-LINK, 工 作 信道 是 6, 网 络 没有 加 密 。 这 时 一 
个 没有 加 密 的 无 线 网 络 就 存在 于 TL-WR885N 周围 了 ,可 以 提供 给 无 线 网 卡 来 连接 。 
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